Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Für die Exchange Sicherheitslücke CVE-2026-62911 liegt seit dem 28. August 2026 ein öffentlicher Exploit auf GitHub. Nach Zahlen des CERT-Bund waren zu diesem Zeitpunkt rund 85 Prozent der On-Premises-Exchange-Server in Deutschland weiterhin angreifbar, obwohl der Patch seit dem August-Patchtag bereitsteht. Angreifer können ohne gültige Zugangsdaten auf beliebige Postfächer zugreifen, Mails lesen und versenden sowie Anhänge herunterladen. Eine Behelfslösung gibt es nicht, nur das Sicherheitsupdate hilft.
Das Wichtigste in Kürze
- CVE-2026-62911 ist ein Authentifizierungs-Bypass in Microsoft Exchange Server, CVSS 8.0 nach Microsoft und 8.8 nach der Zero Day Initiative.
- Der Exploit-Code ist seit dem 28.08.2026 öffentlich; bestätigte Angriffe in der Praxis sind bislang nicht bekannt.
- Betroffen sind Exchange Server Subscription Edition, Exchange 2019 und Exchange 2016; der Fix stammt aus dem August-Patchtag 2026.
- Rund 85 Prozent der deutschen On-Premises-Server sind laut CERT-Bund weiterhin ungepatcht, das BSI benachrichtigt Netzbetreiber seit dem 14.08.2026.
- Die Exchange Emergency Mitigation greift hier nicht; ohne Update bleibt nur, den Zugriff aus dem Internet einzuschränken.
So funktioniert die Exchange Sicherheitslücke
CVE-2026-62911 ist ein Authentifizierungs-Bypass durch Capture-Replay, in der Schwachstellen-Systematik als CWE-294 geführt. Der Angriff setzt am MRSProxy-Endpunkt an, den Exchange für das Verschieben von Postfächern zwischen Servern nutzt.
Nach der Analyse von Frank Zöchling (Frankys Web) leiten Angreifer die Authentifizierung des Serverkontos an diesen Endpunkt weiter. Exchange akzeptiert das zuvor mitgeschnittene Anmeldematerial und stellt daraufhin erweiterte Rechte aus. Anschließend lassen sich beliebige Postfächer öffnen, unabhängig davon, welchem Benutzer sie gehören: Nachrichten lesen, Nachrichten in fremdem Namen versenden, Anhänge herunterladen.
Microsoft bewertet die Lücke mit CVSS 8.0 und stuft sie als Rechteausweitung ein. Die Zero Day Initiative von Trend Micro, die den Fehler gemeldet hat, kommt auf 8.8 und hat der Einstufung von Microsoft öffentlich widersprochen, die Ausnutzbarkeit sei nicht belegt.
Die Herkunft erklärt die Brisanz: Der Fehler wurde bei Pwn2Own Berlin 2026 gezeigt, dort als Teil einer Kette aus drei Schwachstellen. Zusammengenommen führte die Kette zur Codeausführung mit SYSTEM-Rechten auf dem Exchange-Server. Für sich genommen ist CVE-2026-62911 also eine Rechteausweitung, in Kombination mit weiteren Lücken wird daraus die vollständige Übernahme eines Servers, der aus dem Internet erreichbar ist.
Zahlen, Daten, Fakten
Seit dem 14.08.2026 benachrichtigt das BSI deutsche Netzbetreiber über verwundbare Systeme in ihren Netzen. Die Zahlen zum Stand vom 31.08.2026:
der Server in Deutschland ungepatcht
0
%
verwundbare IP-Adressen weltweit
0
davon in Deutschland
0
Server mit ESU-Update bekannt
0
Warum viele Exchange-Server ungepatcht bleiben
Die Quote von 85 Prozent wirkt zunächst nach Nachlässigkeit. Der eigentliche Grund liegt tiefer: Der reguläre Support für Exchange Server 2016 und 2019 ist im Oktober 2025 ausgelaufen. Sicherheitsupdates für diese Versionen gibt es seither ausschließlich über das kostenpflichtige Programm Extended Security Updates.
Wie selten dieser Weg gegangen wird, zeigt die Zahl des CERT-Bund: Neun Server in ganz Deutschland sind bekannt, auf denen ein ESU-Update tatsächlich eingespielt ist. Wer also weiterhin Exchange 2016 oder 2019 betreibt und kein ESU gebucht hat, bekommt den Fix für CVE-2026-62911 gar nicht erst angeboten.
Zum Hintergrund
Bereits Ende Oktober 2025 kam das BSI zu dem Ergebnis, dass rund 92 Prozent von etwa 33.000 On-Premises-Exchange-Servern in Deutschland auf nicht mehr unterstützten Versionen liefen, mit aus dem Internet erreichbarem Outlook on the Web. Der aktuelle Fall trifft also auf einen Bestand, der schon vorher überaltert war.
Dazu kommt der Zeitdruck: Zwischen dem Patchtag im August und dem öffentlichen Exploit lagen rund zwei Wochen. Wer Exchange-Updates nach dem üblichen Muster erst nach einer Beobachtungsphase einspielt, war zum Zeitpunkt der Veröffentlichung noch nicht fertig.
Patchstände gegen CVE-2026-62911
| Exchange-Version | Build | Update |
|---|---|---|
| Subscription Edition RTM | 15.2.2562.46 | KB5121573 |
| Exchange 2019 CU15 | 15.2.1748.49 | KB5121574 |
| Exchange 2019 CU14 | 15.2.1544.44 | KB5121575 |
| Exchange 2016 CU23 | 15.1.2507.72 | KB5121576 |
Maßgeblich ist die Buildnummer, nicht das Datum der letzten Update-Installation. Für Exchange 2016 und 2019 setzt die Installation eine gültige ESU-Lizenzierung voraus; ohne sie steht das Update nicht zur Verfügung.
Keine Emergency Mitigation
Die Exchange Emergency Mitigation, mit der Microsoft in früheren Fällen eine Übergangslösung angeboten hat, greift bei dieser Lücke nicht. Es gibt keinen Workaround, der das Update ersetzt.
Sofortmaßnahmen gegen die Exchange Sicherheitslücke
Den Stand aller Server liefert die Exchange Management Shell:
Get-ExchangeServer | Format-List Name, AdminDisplayVersion
1
Buildnummer prüfen
Die Ausgabe des Befehls gegen die Tabelle oben abgleichen, Server für Server.
2
Update einspielen
Das August-Sicherheitsupdate installieren. Bei Exchange 2016 und 2019 zuvor klären, ob eine ESU-Lizenzierung vorliegt; fehlt sie, ist ihre Beschaffung der erste Schritt.
3
Zugriff aus dem Internet einschränken
Solange ein Server ungepatcht bleibt, den Zugriff auf die Exchange-Webdienste auf vertrauenswürdige Quell-IP-Adressen begrenzen oder ihn über ein VPN führen. Das ist die ausdrückliche Empfehlung des BSI.
4
Protokolle sichten
Die IIS-Logs auf auffällige Zugriffe auf den MRSProxy-Endpunkt und auf Postfachzugriffe außerhalb der üblichen Zeiten und Netze prüfen.
5
Migration bewerten
Bei Exchange 2016 und 2019 die Frage beantworten, ob ESU verlängert wird oder ob der Umstieg auf die Subscription Edition beziehungsweise nach Exchange Online ansteht. Diese Entscheidung wird bei jeder weiteren Lücke erneut fällig.
6
Postfachrechte kontrollieren
Nach dem Patchen prüfen, ob Postfachregeln, Weiterleitungen oder Stellvertreterrechte angelegt wurden, die niemand kennt.
Bedeutung für Geschäftsführung und Entscheider
Ein Exchange-Server, der aus dem Internet erreichbar ist, ist der Zugang zur gesamten Geschäftskorrespondenz. Gelingt der Zugriff, sind Angebote, Verträge, Personalunterlagen und Rechnungsverläufe offen einsehbar. Aus mitgelesenen Mailverläufen entsteht typischerweise Rechnungsbetrug, weil Angreifer sich in laufende Vorgänge einklinken und Bankverbindungen austauschen. Sobald personenbezogene Daten betroffen sind, greift die Meldepflicht nach DSGVO innerhalb von 72 Stunden.
Der wirtschaftlich unangenehme Teil ist nicht das Update, sondern die Frage dahinter. Exchange 2016 und 2019 sind seit Oktober 2025 ohne regulären Support. Wer sie weiterbetreibt, zahlt für Extended Security Updates und bekommt dafür nur Zeit, keine Zukunft. Die neun bekannten ESU-Installationen in ganz Deutschland zeigen, dass diese Rechnung kaum jemand aufmacht: Der Regelfall ist ein Server, der weiterläuft und keine Sicherheitsupdates mehr erhält.
Für die Geschäftsführung stellen sich damit zwei getrennte Entscheidungen. Kurzfristig: Ist unser Exchange auf dem aktuellen Stand, und wenn nein, bis wann? Mittelfristig: Bleiben wir bei Exchange on premises mit ESU-Kosten, wechseln wir auf die Subscription Edition oder gehen wir nach Exchange Online? Die zweite Frage lässt sich planen. Sie zu verschieben bedeutet, sie bei jeder weiteren Lücke unter Zeitdruck erneut zu stellen.
FAQ zur Exchange Sicherheitslücke
Bestätigte Angriffe sind bislang nicht bekannt. Öffentlicher Exploit-Code liegt seit dem 28.08.2026 auf GitHub, und mehr als 21.000 verwundbare Server sind aus dem Internet erreichbar. Fachleute rechnen deshalb damit, dass aus Scans in kurzer Zeit Angriffe werden.
Nein. Betroffen sind ausschließlich On-Premises-Installationen: Exchange Server Subscription Edition, Exchange 2019 und Exchange 2016. Wer vollständig in Exchange Online arbeitet, muss hier nichts tun.
Für diese Konstellation steht kein Update bereit. Kurzfristig hilft nur, den Zugriff aus dem Internet zu unterbinden oder über ein VPN zu führen. Parallel gehören die ESU-Beschaffung und die Migration auf den Tisch.
Nein. Für diese Lücke gibt es keine wirksame Entschärfung über die Emergency Mitigation. Ausschließlich das Sicherheitsupdate schließt sie.
Prüfen Sie die IIS-Protokolle auf Zugriffe auf den MRSProxy-Endpunkt sowie die Postfachprotokolle auf Zugriffe außerhalb üblicher Zeiten und Netze. Auffällig sind außerdem neu angelegte Postfachregeln, Weiterleitungen und Stellvertreterrechte. Fehlende Spuren sind allerdings kein Beweis dafür, dass nichts passiert ist.
Fazit
Die Exchange Sicherheitslücke CVE-2026-62911 ist ein Lehrstück über den Unterschied zwischen verfügbarem und eingespieltem Patch. Der Fix liegt seit dem August-Patchtag vor, zwei Wochen später war der Exploit öffentlich, und trotzdem blieben nach Zahlen des CERT-Bund rund 85 Prozent der deutschen Server angreifbar. Wer Exchange on premises betreibt, sollte heute die Buildnummer prüfen und nicht auf die nächste Wartungsphase warten, denn eine Behelfslösung existiert nicht. Der Fall zeigt zugleich, dass die eigentliche Entscheidung eine andere ist: Ein Mailserver ohne regulären Support ist kein Zustand, den man verwaltet, sondern einer, den man beendet.
Fanden Sie den Blogbeitrag hilfreich und interessant?
Vielen Dank für Ihre Rückmeldung!