Die Schwachstelle CVE-2026-62911 stuft Microsoft als Authentifizierungsumgehung durch Capture-Replay ein. Laut Herstellerbeschreibung kann ein autorisierter Angreifer darüber seine Rechte über das Netzwerk ausweiten und in der Folge “die Postfächer aller Exchange-Nutzer übernehmen; Angreifer können E-Mails senden, E-Mails lesen und Anhänge herunterladen”. Betroffen sind Exchange Server 2016, Exchange Server 2019 und die Subscription Edition. Der Angriff ist von geringer Komplexität, setzt aber Basisrechte auf dem Zielserver und eine Benutzerinteraktion voraus.
Gemeldet wurde der Fehler von Orange Tsai vom DEVCORE Research Team; Microsoft lieferte den Patch am August-Patchday 2026 aus. Das niederländische NCSC-NL berichtete kürzlich, dass Exploit-Code für die Lücke bereits im Umlauf ist — Microsoft hat das im Advisory zu CVE-2026-62911 bislang nicht bestätigt.
“Microsoft hat Updates zur Behebung der Schwachstellen bereitgestellt. Installieren Sie diese Updates so schnell wie möglich”, schreibt NCSC-NL. Für Exchange Server 2016 und 2019 gebe es Sicherheitsupdates nur noch über das Extended-Security-Updates-Programm (ESU). Wer diese Versionen einsetze, solle sicherstellen, dass der Server ausschließlich intern erreichbar ist, und ihn nach Möglichkeit ersetzen.
Wie groß die verbleibende Angriffsfläche ist, zeigen Zahlen von Shadowserver: Die Beobachtungsgruppe fand am Dienstag 21.899 IP-Adressen mit Exchange-Server-Fingerabdruck, die weiterhin ungepatcht online stehen. Der größte Anteil entfällt auf die USA mit 6.200 Systemen, gefolgt von Deutschland mit 5.100. Passend dazu warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) am Freitag — zuerst von Heise bemerkt —, dass rund 85 Prozent aller On-Premises-Exchange-Server in Deutschland noch verwundbar seien.
Eine aktive Ausnutzung von CVE-2026-62911 ist bislang nicht dokumentiert. Anders lag der Fall bei CVE-2026-42897: Diese Exchange-Lücke schloss Microsoft im Juni, nachdem sie in Cross-Site-Scripting-Angriffen gegen Nutzer von Outlook Web Access ausgenutzt worden war. Die US-Cybersicherheitsbehörde CISA nahm den Fehler am 15. Mai in ihren Katalog bekannter ausgenutzter Schwachstellen auf und verpflichtete US-Bundesbehörden, ihre Server binnen zwei Wochen zu patchen.
Exchange bleibt damit ein Dauerbrenner in der KEV-Liste: Seit November 2021 hat CISA 20 Schwachstellen in Microsoft Exchange Server als aktiv ausgenutzt eingestuft, 14 davon zusätzlich als in Ransomware-Angriffen missbraucht.
Der Zeitdruck für Betreiber älterer Installationen wächst. Nachdem Microsoft im Oktober das Support-Ende für Exchange 2016 und 2019 verkündet hatte, veröffentlichten CISA und die NSA eine gemeinsame Anleitung zur Härtung von Exchange-Servern. Vor zwei Monaten erinnerte Microsoft seine Kunden zudem daran, dass Sicherheitsupdates für Exchange 2016 und 2019 im Oktober 2026 auch über das ESU-Programm auslaufen.