Tausende Microsoft-Exchange-Server stehen derzeit offen im Netz und sind gegen eine kritische Sicherheitslücke ungeschützt. Über die Schwachstelle CVE-2026-62911 könnten Angreifer sämtliche Postfächer eines betroffenen Servers komplett übernehmen.

Das geht aus einem Bericht des Sicherheitsportals Bleeping Computer hervor, der sich unter anderem auf Daten der Threat-Intelligence-Organisation Shadowserver stützt. Betroffen sind demnach Exchange Server 2016, 2019 sowie die Subscription Edition.

Was hinter der Schwachstelle steckt

Entdeckt wurde die Lücke vom DEVCORE Research Team rund um den Sicherheitsforscher Orange Tsai. Microsoft beschreibt sie als Authentifizierungsumgehung durch eine sogenannte Capture-Replay-Attacke, mit der Angreifer ihre Rechte im Netzwerk ausweiten können.

Laut Microsoft benötigen Angreifer dafür lediglich grundlegende Zugriffsrechte auf dem Zielserver, der Angriff selbst gilt als wenig komplex, erfordert aber eine Interaktion des Nutzers. Ist der Zugriff einmal gelungen, können Täter E-Mails lesen, versenden und Anhänge herunterladen – praktisch die volle Kontrolle über alle Postfächer des Servers.

Microsoft schloss die Lücke bereits im August 2026 im Rahmen des monatlichen Patchdays. Die niederländische Cybersicherheitsbehörde NCSC-NL warnte vergangene Woche zusätzlich, dass mittlerweile Exploit-Code für die Schwachstelle frei zugänglich im Netz kursiert.

Deutschland besonders stark betroffen

Nach Auswertung von Shadowserver sind aktuell 21.899 IP-Adressen mit einem erkennbaren Exchange-Fingerabdruck ungepatcht und öffentlich erreichbar. Die meisten davon stehen in den USA mit rund 6.200 Servern, gefolgt von Deutschland mit etwa 5.100 betroffenen Systemen.

Das CERT Bund bestätigte das Ausmaß in einer eigenen Warnung: Rund 85 Prozent aller On-Premises-Exchange-Server in Deutschland gelten demnach weiterhin als verwundbar. Eine aktive Ausnutzung der Lücke in freier Wildbahn ist bislang zwar nicht bestätigt, angesichts der Verfügbarkeit von Exploit-Code raten Experten aber zu schnellem Handeln.

Exchange-Server geraten regelmäßig ins Visier

Die aktuelle Warnung reiht sich in eine lange Liste von Exchange-Schwachstellen ein. Erst im Juni hatte Microsoft mit CVE-2026-42897 eine weitere Lücke geschlossen, die bereits aktiv für Cross-Site-Scripting-Angriffe auf Nutzer von Outlook Web Access missbraucht wurde – die US-Behörde CISA nahm diese Schwachstelle im Mai in ihren Katalog aktiv ausgenutzter Sicherheitslücken auf und verpflichtete Bundesbehörden zur Behebung innerhalb von zwei Wochen.

Seit November 2021 hat die CISA insgesamt 20 Exchange-Schwachstellen in diesen Katalog aufgenommen, 14 davon wurden zusätzlich mit Ransomware-Angriffen in Verbindung gebracht. Erschwerend kommt hinzu, dass der erweiterte Support für Exchange 2016 und 2019 über das ESU-Programm im Oktober 2026 ausläuft, wonach für diese Versionen keine regulären Sicherheitsupdates mehr erscheinen.

Sicherheitsbehörden empfehlen betroffenen Organisationen daher dringend, die verfügbaren Patches umgehend einzuspielen. Wer weiterhin auf Exchange 2016 oder 2019 setzt, sollte laut NCSC-NL zusätzlich prüfen, ob sich der Server ausschließlich intern erreichen lässt, oder über einen Umstieg auf eine neuere Version nachdenken.