Am August-Patchday hat Microsoft auch im Exchange-Server Sicherheitslücken mit Korrekturen versorgt. Nun hat der Melder der Schwachstelle Proof-of-Concept-Code (PoC) veröffentlicht, der den Missbrauch einer der hochriskanten Sicherheitslücken demonstriert. Cyberkriminelle dürften den schnell adaptieren und in ihre Angriffswerkzeugkisten aufnehmen.
Auf GitHub stellt Hiep Van Nguyen den PoC vor, den Orange Tasi (Devcore) auf der Pwn2Own-Veranstaltung in Berlin als Teil einer Verkettung von drei Schwachstellen eingesetzt hat, um Exchange-Systeme vollständig zu übernehmen. Microsoft beschreibt die Sicherheitslücke als Rechteausweitung und stuft sie abweichend von der CVSS-Klassifizierung als „kritisch“ ein (CVE-2026-62911, CVSS 8.0, Risiko „hoch“). Bei dem Leck handelt es sich um eine mögliche Replay-Attacke, mit der autorisierte Angreifer ihre Rechte über das Netz ausweiten können und die Authentifizierung umgehen. Nguyen fasst das direkter zusammen, die Lücke erlaubt das Einschleusen und Ausführen von Schadcode ohne vorherige Authentifizierung.
Betroffene Exchange-Versionen
Nguyen erörtert für Interessierte auch tiefergehende Details der Lücke. Microsoft hat sie in den Versionen Exchange 2016 CU23 15.1.2507.72, 2019 CU14 15.2.1544.43, 2019 CU15 15.2.1748.48 und Exchange SE RTM 15.2.2562.45 und neueren geschlossen. Exchange 2016 ist seit Oktober 2025 am regulären End-of-Life angelangt, es gibt die Sicherheitspatches dafür nur im Rahmen des Extended-Security-Updates-Programms (ESU). Wer dafür nicht zahlt, sitzt auf einem verwundbaren System.
