// HEISE ONLINE — CYBERSECURITY
Exchange-Sicherheitslücke: Wegen Proof-of-Concept Angriffe wahrscheinlich
Für eine hochriskante Lücke in Exchange, die die Systemübernahme erlaubt, ist Exploit-Code erschienen. Admins müssen updaten.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Am August-Patchday hat Microsoft auch im Exchange-Server Sicherheitslücken mit Korrekturen versorgt. Nun hat der Melder der Schwachstelle Proof-of-Concept-Code (PoC) veröffentlicht, der den Missbrauch einer der hochriskanten Sicherheitslücken demonstriert. Cyberkriminelle dürften den schnell adaptieren und in ihre Angriffswerkzeugkisten aufnehmen.
Auf GitHub stellt Hiep Van Nguyen den PoC vor, den Orange Tasi (Devcore) auf der Pwn2Own-Veranstaltung in Berlin als Teil einer Verkettung von drei Schwachstellen eingesetzt hat, um Exchange-Systeme vollständig zu übernehmen. Microsoft beschreibt die Sicherheitslücke als Rechteausweitung und stuft sie abweichend von der CVSS-Klassifizierung als „kritisch“ ein (CVE-2026-62911, CVSS 8.0, Risiko „hoch“). Bei dem Leck handelt es sich um eine mögliche Replay-Attacke, mit der autorisierte Angreifer ihre Rechte über das Netz ausweiten können und die Authentifizierung umgehen. Nguyen fasst das direkter zusammen, die Lücke erlaubt das Einschleusen und Ausführen von Schadcode ohne vorherige Authentifizierung.
Nguyen erörtert für Interessierte auch tiefergehende Details der Lücke. Microsoft hat sie in den Versionen Exchange 2016 CU23 15.1.2507.72, 2019 CU14 15.2.1544.43, 2019 CU15 15.2.1748.48 und Exchange SE RTM 15.2.2562.45 und neueren geschlossen. Exchange 2016 ist seit Oktober 2025 am regulären End-of-Life angelangt, es gibt die Sicherheitspatches dafür nur im Rahmen des Extended-Security-Updates-Programms (ESU). Wer dafür nicht zahlt, sitzt auf einem verwundbaren System.
Insbesondere in Deutschland stehen viele veraltete und verwundbare Exchange-Server im Internet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte zuletzt im vergangenen Oktober davor, dass mehr als 30.000 veraltete Exchange-Server in Deutschland online sind. Auf Anfrage von heise security zu aktuellen Zahlen hat das BSI nicht umgehend reagieren können. Dennoch ist das ein deutlicher Hinweis, dass sich Exchange-Admins durch Anwenden der bereitstehenden Aktualisierungen gegen die nun zu erwartenden Angriffe auf die Sicherheitslücke vorbereiten sollten.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.