Kritische Exchange-Sicherheitslücke

Microsoft Exchange ist in vielen Unternehmen eine zentrale Komponente der IT-Infrastruktur und deshalb ein attraktives Ziel für Cyberkriminelle. Mit CVE-2026-62911 sorgt aktuell eine kritische Sicherheitslücke für erhöhte Aufmerksamkeit. Besonders brisant: Inzwischen ist ein öffentlicher Exploit verfügbar. Das bedeutet, dass Informationen und Werkzeuge zur Ausnutzung der Schwachstelle öffentlich zugänglich sind und die technische Hürde für potenzielle Angreifer sinkt.

Für Unternehmen heißt das: Jetzt ist schnelles Handeln gefragt! Gleichzeitig zeigt der aktuelle Fall sehr deutlich, warum nicht nur regelmäßige Sicherheitsupdates, sondern auch unterstützte und aktuelle Softwarestände entscheidend für die IT-Sicherheit sind.

Über die Schwachstelle CVE-2026-62911 können Sicherheitsmechanismen von Microsoft Exchange umgangen werden. Eine erfolgreiche Ausnutzung kann Angreifern weitreichende Möglichkeiten innerhalb der Exchange-Umgebung eröffnen. Besonders kritisch: Angreifer können unter bestimmten Voraussetzungen auf E-Mails zugreifen oder Nachrichten im Namen legitimer Nutzer versenden.

Gerade für Phishing-Angriffe ist das ein gefährliches Szenario. Kommt eine Nachricht scheinbar von einem bekannten Kollegen, Vorgesetzten oder Geschäftspartner und wird sie über die tatsächliche Unternehmensumgebung verschickt, ist sie für Empfänger deutlich schwieriger als Angriff zu erkennen.

Zusätzliche Dringlichkeit entsteht dadurch, dass inzwischen ein öffentlicher Exploit für die Schwachstelle verfügbar ist. Aus einem bekannten Sicherheitsproblem wird damit ein wesentlich konkreteres Angriffsszenario.

Die wichtigste Sofortmaßnahme ist daher klar: Unternehmen sollten prüfen, welche Exchange-Version sie einsetzen, welchen Patchstand diese hat und ob das aktuelle Sicherheitsupdate bereits installiert wurde.

Das gilt ausdrücklich auch für Exchange Server Subscription Edition (SE).

Microsoft hat auch für Exchange Server SE ein Sicherheitsupdate veröffentlicht, das CVE-2026-62911 adressiert. Wer bereits Exchange Server SE einsetzt, ist durch die aktuelle Version also nicht automatisch geschützt. Das entsprechende Sicherheitsupdate muss installiert werden.

Das zeigt einen wichtigen Grundsatz moderner IT-Sicherheit:

Eine aktuelle Softwareversion ersetzt kein konsequentes Patchmanagement.

Neue Schwachstellen können auch in aktuell unterstützter Software entdeckt werden. Entscheidend ist, dass der Hersteller Sicherheitsupdates bereitstellt und Unternehmen diese zeitnah einspielen können.

Noch dringender ist die Situation für Unternehmen, die weiterhin Exchange Server 2016 oder Exchange Server 2019 einsetzen. Beide Versionen haben im Oktober 2025 ihr reguläres Supportende erreicht. Damit werden sie von Microsoft nicht mehr regulär mit Sicherheitsupdates versorgt.

Aktuelle Sicherheitsupdates stehen für diese Systeme nur noch im Rahmen des kostenpflichtigen Extended Security Update Programms (ESU) zur Verfügung. Unternehmen, die nicht am entsprechenden ESU-Programm teilnehmen, erhalten die aktuellen Sicherheitsupdates für Exchange Server 2016 und 2019 nicht mehr.

Genau darin liegt das eigentliche Risiko. Es geht nicht nur darum, dass eine ältere Softwareversion eingesetzt wird. Entscheidend ist vielmehr die Frage: Was passiert bei der nächsten kritischen Sicherheitslücke, wenn für das eingesetzte System keine regulären Sicherheitsupdates mehr zur Verfügung stehen?

CVE-2026-62911 ist ein aktuelles Beispiel – aber mit Sicherheit nicht die letzte Schwachstelle, die in einer weit verbreiteten Unternehmenssoftware entdeckt wird. Sicherheitslücken gehören zum IT-Alltag. Der entscheidende Unterschied liegt darin, wie Unternehmen darauf reagieren können. Bei einer unterstützten Softwareversion kann der Hersteller auf neu entdeckte Schwachstellen reagieren und Sicherheitsupdates bereitstellen. Unternehmen können diese bewerten, testen und zeitnah installieren.

Bei Systemen außerhalb des regulären Supports wird genau dieser Prozess zum Problem. Und gerade bei Exchange sind die möglichen Folgen besonders kritisch: E-Mail ist einer der wichtigsten Kommunikationskanäle eines Unternehmens und gleichzeitig ein häufig genutzter Angriffsvektor für Cyberkriminelle.

Unternehmen, die noch Exchange Server 2016 oder Exchange Server 2019 einsetzen, sollten deshalb nicht von Sicherheitslücke zu Sicherheitslücke denken. Mit Exchange Server Subscription Edition steht eine aktuelle und von Microsoft unterstützte Exchange-Version zur Verfügung.

Der Wechsel auf Exchange Server SE bedeutet allerdings nicht, dass sich Unternehmen anschließend nicht mehr um Sicherheitsupdates kümmern müssen. Auch Exchange Server SE muss kontinuierlich aktualisiert und mit den von Microsoft bereitgestellten Sicherheitsupdates versorgt werden.

Der entscheidende Unterschied ist: Unternehmen befinden sich wieder auf einer unterstützten Plattform, für die Microsoft aktuelle Sicherheitsupdates bereitstellt. Die nachhaltige Strategie besteht deshalb aus zwei Teilen: Auf einer unterstützten Exchange-Version arbeiten – und diese konsequent aktuell halten.

Für IT-Verantwortliche ergeben sich aus der aktuellen Situation drei zentrale Fragen:

1. Welche Exchange-Version setzen wir aktuell ein?
Zunächst sollte geklärt werden, ob Exchange Server SE oder noch Exchange Server 2016 bzw. 2019 eingesetzt wird.

2. Ist das aktuelle Sicherheitsupdate installiert?
Auch Unternehmen mit Exchange Server SE sollten überprüfen, ob das von Microsoft bereitgestellte Sicherheitsupdate gegen CVE-2026-62911 bereits installiert wurde. Bei Exchange Server 2016 und 2019 muss zusätzlich geprüft werden, ob überhaupt eine entsprechende ESU-Berechtigung besteht und aktuelle Sicherheitsupdates bezogen werden können.

3. Wie sieht unsere Exchange-Strategie für die kommenden Jahre aus?
Wer noch Exchange Server 2016 oder 2019 betreibt, sollte die aktuelle Situation zum Anlass nehmen, einen konkreten Migrationspfad zu definieren. Abhängig von der vorhandenen Infrastruktur können dabei unter anderem Hybrid-Konfigurationen, Drittanwendungen, Abhängigkeiten und bestehende Integrationen eine Rolle spielen. Eine Migration sollte deshalb geplant erfolgen – und nicht erst dann beginnen, wenn die nächste kritische Sicherheitslücke veröffentlicht wird.

Die aktuelle Exchange-Sicherheitslücke CVE-2026-62911 zeigt einmal mehr, wie schnell aus einer technischen Schwachstelle ein konkretes Unternehmensrisiko werden kann – insbesondere dann, wenn ein öffentlicher Exploit verfügbar ist. Kurzfristig zählt deshalb vor allem eines: Betroffenheit prüfen und verfügbare Sicherheitsupdates installieren.

Langfristig reicht es jedoch nicht aus, von Patch zu Patch zu reagieren. Unternehmen benötigen eine Plattform, die weiterhin vom Hersteller unterstützt und mit Sicherheitsupdates versorgt wird. Wer noch Exchange Server 2016 oder Exchange Server 2019 ohne entsprechende ESU-Abdeckung betreibt, sollte deshalb jetzt den Wechsel auf eine unterstützte Exchange-Version planen.

Denn die nächste Sicherheitslücke wird kommen. Die entscheidende Frage ist, wie gut Ihr Unternehmen dann darauf reagieren kann.

• Patch-Defizit in Deutschland: Exploit gefährdet 85 Prozent aller Exchange-Server - Golem.de
• Exchange: Öffentlicher Exploit für kritische Lücke CVE-2026-62911 - Frankys Web