Exchange 2016/2019: Das Endspiel hat begonnen – 5.100 ungepatchte Server allein in Deutschland
Sechs Wochen bis zum Support-Ende, zwei aktiv ausgenutzte Lücken, öffentlicher Exploit-Code auf GitHub und Exchange Online, das ab sofort Mails von veralteten Servern abweist. Wer jetzt noch einen On-Premises-Exchange 2016 oder 2019 betreibt, hat kein Projekt mehr vor sich, sondern einen Notfall.
Die Lage in Zahlen
| Support-Ende Exchange 2016 / 2019 | 14. Oktober 2026 |
| CVE-2026-42897 (CVSS 8.1) | XSS über Outlook Web Access, wird seit Anfang September aktiv ausgenutzt. Betrifft 2016, 2019 und Subscription Edition. |
| CVE-2026-62911 (kritisch) | Remote Code Execution, von Orange Tsai (DEVCORE) auf der Pwn2Own Berlin 2026 gezeigt. Dreiteilige Exploit-Kette inklusive PetitPotam-Relay bis SYSTEM. Patch seit August, Exploit-Code öffentlich. |
| Ungepatchte Server (Shadowserver, 01.09.2026) | 21.899 weltweit, davon rund 5.100 in Deutschland – Platz 2 hinter den USA. |
| Exchange Online Baseline | Seit Anfang September blockiert Microsoft Mails von 2016/2019-Servern, deren Patchstand älter als Oktober 2025 ist. |
Warum die RCE-Kette so gefährlich ist
CVE-2026-62911 ist keine einzelne Lücke, sondern eine Kette. Der interessante Teil für AD-Administratoren ist das PetitPotam-Relay: Der Exchange-Server wird dazu gebracht, sich per NTLM bei einem vom Angreifer kontrollierten Host zu authentifizieren. Diese Authentifizierung wird weitergereicht, und am Ende steht SYSTEM auf dem Exchange – und damit in den meisten Umgebungen auch ein Konto mit weitreichenden Rechten im Active Directory.
Das heißt: Auch wer den Exchange gepatcht hat, sollte prüfen, ob NTLM-Relaying in der Domäne überhaupt noch möglich ist. Ein Exchange ohne erzwungenes SMB-Signing, ohne LDAP-Channel-Binding und mit erlaubtem NTLMv1 ist auch nach dem Patch ein Relay-Ziel für die nächste Lücke.
Direct Send: Fast ein Jahr lang Spoofing möglich
Nebenbei wurde bekannt, dass Microsoft 365 Direct Send mit einem leeren Absender (MAIL FROM:<>) den Schutz RejectDirectSend umgehen konnte – und zwar bis August 2026, also fast ein Jahr lang. Interne Absender ließen sich damit fälschen, ohne dass SPF, DKIM oder DMARC angeschlagen hätten.
Der einzige wirklich belastbare Schutz waren IP-beschränkte Connectors. Wer Multifunktionsgeräte oder Applikationsserver über Direct Send an den Tenant angebunden hat, sollte diese Connectors jetzt auf feste IP-Bereiche einschränken – und die eigene Domäne mit DKIM signieren, damit ausgehende Mails eindeutig zuzuordnen sind. Für On-Premises-Exchange übernimmt das der ISW Exchange DKIM Signer.
Was jetzt zu tun ist – in dieser Reihenfolge
- Heute: Patchstand aller Exchange-Server prüfen. Wer die August-CU/SU für CVE-2026-62911 nicht hat, patcht heute. Bis dahin EOMT-Skript bzw. Exchange Emergency Mitigation Service aktivieren.
- Diese Woche: OWA und ECP nach außen abschalten oder hinter eine Vorauthentifizierung legen. Die XSS-Lücke CVE-2026-42897 braucht einen erreichbaren OWA.
- Diese Woche: NTLM-Relay-Härtung prüfen – SMB-Signing, LDAP-Signing und Channel-Binding, EPA für Exchange-Virtual-Directories, NTLMv1 verbieten.
- Bis Oktober: Entscheidung treffen: Subscription Edition (In-Place-Upgrade von 2019 CU15) oder Migration nach Exchange Online. Ein Hybrid-Server für die Verwaltung bleibt weiterhin kostenlos.
- Laufend: Die Exchange-Versionen in eine Schwachstellenüberwachung aufnehmen, damit die nächste Lücke nicht wieder erst nach Wochen auffällt.
- ISW CVE Vulnerability Scanner – scannt Exchange, Windows Server und installierte Software auf mehreren Systemen gleichzeitig gegen die NVD und ordnet die CVEs per CPE-Mapping zu. Der Report zeigt sofort, welcher Server für CVE-2026-62911 noch offen ist.
- ISW Security Advisory Board – Asset-Watchlist für genau die Produkte, die bei Ihnen laufen. Neue Advisories zu Exchange landen per SMTP-Benachrichtigung im Postfach, nicht erst im nächsten Newsletter.
- ISW NTLM Audit Analyzer – macht sichtbar, wer in der Domäne noch NTLM spricht, bevor Sie es abschalten.
- ISW Exchange Hygiene – wenn die Migration nach Exchange Online ansteht: prüft und bereinigt die Postfächer nach PST-Import oder Tenant-Umzug (verwaiste Erinnerungen, Kalenderleichen, doppelte Elemente).
- ISW Windows Firewall Manager Pro – setzt die Regeln für OWA/ECP-Einschränkung und SMB-Zugriff zentral und prüfbar, statt per Hand auf jedem Server.
Fazit
5.100 ungepatchte Exchange-Server in Deutschland bedeuten 5.100 Unternehmen, bei denen ein öffentlich verfügbarer Exploit direkt zu SYSTEM führt. Nach dem 14. Oktober gibt es für 2016 und 2019 keine Patches mehr – jede weitere Lücke bleibt dann dauerhaft offen. Für NIS2-betroffene Unternehmen ist der Weiterbetrieb eines nicht mehr unterstützten Mailservers zudem kaum noch als „Stand der Technik“ zu begründen. Der Umstieg ist keine Frage des Ob mehr, nur noch des Wann – und „wann“ heißt: vor der nächsten Kette.
Quellen: Shadowserver-Erhebung vom 01.09.2026, Microsoft Security Response Center, Berichte vom 04. und 06.09.2026. Alle ISW-Tools: isw-adtools.de