Thought Leadership
Die Sicherheitsorganisation Shadowserver Foundation hat mindestens 21.899 öffentlich erreichbare IP-Adressen mit anfälligen Microsoft-Exchange-Instanzen gefunden.
Microsoft hatte die Schwachstelle bereits am 11. August erstmals offengelegt und beschreibt sie als Umgehung der Authentifizierung durch sogenanntes Capture-Replay, wodurch ein bereits autorisierter Angreifer seine eigenen Rechte im Netzwerk ausweiten kann. Vereinfacht bedeutet das: Angreifer können zuvor abgefangene Zugangsdaten erneut verwenden. Laut der aktualisierten Sicherheitsmitteilung des niederländischen Nationalen Cybersicherheitszentrums NCSC erlaubt die Lücke einem nicht autorisierten böswilligen Akteur, beliebigen Code auszuführen. Da inzwischen bereits öffentlich verfügbarer Machbarkeitsnachweis-Code kursiert, stufte das NCSC die Priorität der Warnung auf hoch hoch.
Das NCSC warnte zudem: Über CVE-2026-62911 könne ein Angreifer ohne eigene Fernanmeldedaten schädlichen Code ausführen, wodurch sich Zugriff auf E-Mail-Konten verschaffen und möglicherweise tiefer in das Netzwerk eindringen lasse. Betroffene Angreifer könnten damit sämtliche Postfächer eines Exchange-Servers übernehmen, E-Mails lesen oder versenden sowie beliebige Anhänge herunterladen.
Microsoft Exchange: USA und Deutschland am stärksten betroffen
Nach Angaben von Shadowserver entfallen allein auf die USA 6.164 verwundbare, von außen erreichbare Exchange-Server, gefolgt von Deutschland mit 5.127 betroffenen IP-Adressen. Weitere Hunderte betroffene Adressen verteilen sich unter anderem auf Großbritannien, Russland, Kanada, Österreich, Frankreich, Italien und die Niederlande. Erschwerend kommt hinzu, dass die Versionen Exchange Server 2016 und 2019 inzwischen offiziell aus dem regulären Support gefallen sind, Sicherheitsupdates dafür stehen nur noch über das kostenpflichtige Extended-Security-Updates-Programm zur Verfügung.
Das NCSC rät betroffenen Administratoren, verfügbare Updates umgehend einzuspielen oder den Zugriff auf betroffene Server konsequent auf interne Netzwerke zu beschränken, wo ein Ersatz der Systeme noch nicht möglich ist. Microsoft schloss im August zudem mehrere weitere Exchange-Schwachstellen, darunter mit CVE-2026-62913 einen heap-basierten Pufferüberlauf, über den ein bereits autorisierter Angreifer ebenfalls Code über das Netzwerk ausführen könnte. Für am zweiten Zeitraum des Extended-Security-Updates-Programms teilnehmende Organisationen stellt Microsoft Sicherheitsupdates noch bis Ende Oktober 2026 bereit und drängt betroffene Kunden zum Umstieg auf die aktuelle Exchange Server Subscription Edition.
(red)
