Die Sicherheit und Zuverlässigkeit von Microsoft Exchange Servern sowie der damit verbundenen Cloud-Dienste stehen aufgrund identifizierter Schwachstellen und technischer Störungen unter intensiver Beobachtung.
Aktuelle Berichte vom September 2026 verdeutlichen eine komplexe Bedrohungslage, die sowohl On-Premises-Installationen als auch hybride Umgebungen betrifft. Experten weisen insbesondere auf die aktive Ausnutzung kritischer Lücken und die Notwendigkeit zeitnaher Administrationsmaßnahmen hin.
Kritische Schwachstellen und aktive Exploits
Im Zentrum der Sicherheitsanalysen steht die Schwachstelle CVE-2026-42897 mit einer CVSS-Bewertung von 8.1. Diese Lücke betrifft die Exchange Server-Versionen 2016, 2019 sowie die Subscription Edition (SE).
Laut technischen Berichten vom 4. September 2026 wird die Schwachstelle aktiv über Outlook Web Access (OWA) mittels Cross-Site-Scripting (XSS) ausgenutzt. Microsoft empfiehlt betroffenen Organisationen den Einsatz des Exchange Emergency Mitigation Service oder die Anwendung des EOMT-Skripts als unmittelbare Gegenmaßnahme.
Parallel dazu rückt eine weitere kritische Sicherheitslücke, CVE-2026-62911, in den Fokus. Diese erlaubt eine Remote Code Execution (RCE) und wurde ursprünglich von dem Sicherheitsforscher Orange Tsai (DEVCORE) im Rahmen des Wettbewerbs Pwn2Own Berlin 2026 entdeckt.
Die Ausnutzung basiert auf einer Kette von drei Schwachstellen, die unter anderem ein PetitPotam-Relay nutzen, um Systemrechte zu erlangen. Für diese Lücke ist bereits seit August 2026 ein Patch verfügbar, doch die Existenz von öffentlichem Exploit-Code auf Plattformen wie GitHub erhöht das Risiko für ungepatchte Systeme erheblich.
Patch-Status und globale Gefährdungslage
Daten der Organisation Shadowserver vom 1. September 2026 zeigen das Ausmaß der verzögerten Patch-Zyklen. Demnach sind weltweit noch 21.899 Exchange-Server für die RCE-Lücke CVE-2026-62911 anfällig. Besonders betroffen sind Installationen in den USA mit etwa 6.200 Systemen, gefolgt von Deutschland mit rund 5.100 ungepatchten Servern.
Angesichts der Tatsache, dass der Support für Exchange 2016 und 2019 im Oktober 2026 endet, mahnen Sicherheitsexperten zur dringenden Aktualisierung auf unterstützte Versionen oder die Subscription Edition.
Angesichts der massiven Sicherheitslücken in Exchange-Infrastrukturen müssen Unternehmen ihre IT-Abwehr jetzt grundlegend stärken. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt Ihnen, wie Sie Sicherheitslücken proaktiv schließen. IT-Sicherheit stärken und Unternehmen schützen
Auswirkungen auf die Infrastruktur und den Mail-Verkehr
Microsoft hat zudem weitreichende Maßnahmen zur Absicherung der Kommunikation mit Exchange Online angekündigt. Ab Anfang September 2026 blockiert das Unternehmen E-Mails von On-Premises-Installationen der Versionen 2016 und 2019, die eine definierte Sicherheits-Baseline unterschreiten. Server, die nicht mindestens auf dem Stand von Oktober 2025 gepatcht sind, können über On-Premises-Connectors keine Nachrichten mehr an Exchange Online zustellen.
Zusätzlich wurde eine Schwachstelle im Bereich „Microsoft 365 Direct Send“ identifiziert. Durch die Verwendung eines leeren Absenderfeldes (MAIL FROM:<>) konnten Sicherheitsmechanismen wie „RejectDirectSend“ umgangen werden. Dies ermöglichte das Spoofing interner E-Mails.
Analysen bestätigten, dass dieser Angriffsvektor über einen Zeitraum von fast einem Jahr bis August 2026 bestand, wobei IP-beschränkte Connectors als wirksamer Schutz eingestuft werden.
Betriebsstörungen in Cloud-Diensten
Neben den Sicherheitsrisiken verzeichneten IT-Verantwortliche Anfang September 2026 erhebliche Störungen innerhalb der Microsoft 365-Umgebung. Seit dem 1. September 2026 beeinträchtigte eine fehlerhafte Authentifizierungskonfiguration den Zugriff auf zahlreiche Dienste, darunter Outlook, SharePoint, Teams und Copilot. Auch administrative Werkzeuge wie das Admin Center und Sicherheitslösungen wie Defender XDR waren betroffen.
Wenn die zentrale Mail-Infrastruktur unter Beschuss gerät, ist die Sensibilisierung der Belegschaft der wichtigste Schutzfaktor gegen gezielte Angriffe. Erfahren Sie im kostenlosen Anti-Phishing-Paket, wie Sie Ihr Unternehmen in vier Schritten wirksam gegen Cyberkriminalität absichern. Kostenlosen Leitfaden zur Hacker-Abwehr anfordern
Ergänzend dazu meldete Microsoft Vorfälle bei Exchange Online, wie die Störung EX1467029 vom 4. September 2026, die zu Verzögerungen beim Empfang externer E-Mails und Fehlermeldungen bezüglich überlasteter Server führte. Während ein vorangegangener Ausfall Ende August bereits behoben wurde, dauerten die Bemühungen zur vollständigen Wiederherstellung der Authentifizierungsdienste in der ersten Septemberwoche an.
Für Administratoren älterer Systeme, speziell Exchange 2013, ergaben sich zudem spezifische Fehlermeldungen beim Login. Hier konnte ein Problem mit NullReference-Ausnahmen identifiziert werden, welches durch das Bereinigen technischer Daten im Active Directory und einen anschließenden Neustart der Dienste behoben werden kann.
