Der Sicherheitsanbieter ShadowServer hat sich offen im Internet erreichbare Microsoft Exchange Server angesehen und ist auf eine erschreckende Erkenntnis gestoßen, die nicht so sonderlich neu ist. Laut ShadowServer fehlt auf fast 22.000 Microsoft Exchange-Servern nach wie vor der Patch für eine kritische Sicherheitslücke. Inzwischen ist ein Proof-of-Concept-Exploit-Code öffentlich zugänglich und leicht zu missbrauchen.
In nachfolgendem Tweet weist International Cyber Digest auf den unschönen Sachverhalt hin, dass auf fast 22.000 Microsoft Exchange-Servern die Patches für kritische Schwachstellen fehlen.
ShadowServer hat die fehlenden Sicherheitslücken (meist RCE-Schwachstellen), auf die der Web-Scan Exchange-Instanzen prüft, zum 28. August 2026 in diesem Artikel benannt.
Die Kollegen von Bleeping Computer haben den Sachverhalt in diesem Artikel aufgegriffen. Demnach sind fast 22.000 online zugängliche Microsoft Exchange-Server nach wie vor nicht gegen eine hochgradig kritische Authentifizierungs-Bypass-Schwachstelle gepatcht.
Die Schwachstelle CVE-2026-62911 wurde mit einem CVSS 3.x Base-Score von 8.0 als Hoch eingestuft. Die Umgehung der Authentifizierung durch „Capture-Replay" in Microsoft Exchange Server ermöglicht es einem autorisierten Angreifer, seine Berechtigungen über das Netzwerk zu erweitern.
Diese Sicherheitslücke wurde von Orange Tsai vom DEVCORE Research Team gemeldet, und betrifft Exchange Server 2016, Exchange Server 2019 und Exchange Server Subscription Edition (SE). Angreifer mit grundlegenden Berechtigungen auf dem betroffenen Server können die Schwachstelle in Angriffen, die eine Benutzerinteraktion erfordern, mit geringem Aufwand ausnutzen. Microsoft hat zum 11. August 2026 Sicherheitsupdates für die noch unterstützten Exchange-Versionen veröffentlicht (siehe Exchange Server: Sicherheitsupdates 11. August 2026 deaktiviert OWA Light).
Ein Angreifer könnte die Postfächer aller Exchange-Benutzer übernehmen; Angreifer können E-Mails versenden, E-Mails lesen und Anhänge herunterladen, heißt es im Supportdokument. Inzwischen wurde auf GitHub für CVE-2026-6291 ein Exploit-Code als Proof of Concept (PoC) veröffentlicht.
Laut diesem BlueSky-Post von ShadowServer vom 1. September 2026 wurden bei Scans 21.899 Exchange-Instanzen im Internet gefunden, die nicht gegen CVE-2026-6291 gepatcht sind. In den USA sind es über 6.200 Instanzen, in Deutschland gut 5.100 Systeme.
MVP: 2013 – 2016
