Wer noch einen eigenen Exchange-Server betreibt, sollte jetzt hellhörig werden. Microsoft warnt vor einer aktiv ausgenutzten Sicherheitslücke — und der passende Patch kommt erst mit dem nächsten Patchday am 9. Juni.
Die Lücke: Spoofing mit CVSS 8.1
Die Schwachstelle trägt die Kennung CVE-2026-42897 und ist als Spoofing-Lücke eingestuft — Bewertung CVSS 8.1, also kritisch. Spoofing bedeutet hier vereinfacht: Ein Angreifer kann sich als jemand ausgeben, der er nicht ist, und so Vertrauen oder Zugriff erschleichen. Microsoft bestätigt, dass die Lücke bereits angegriffen wird.
WER ist betroffen?
Im Visier stehen selbst gehostete Exchange-Server (On-Premise). Wenn dein Mailverkehr komplett über Microsoft 365 in der Cloud läuft, bist du von dieser konkreten On-Prem-Lücke nicht im gleichen Maße betroffen. Heikel ist es für alle, die noch eigene Exchange-Hardware im Keller oder im Rechenzentrum stehen haben — und das sind in Deutschland erstaunlich viele.
Warum „ausgenutzt vor dem Patch“ so brisant ist
Das Unangenehme an diesem Fall: Die Lücke wird bereits angegriffen, der offizielle Patch kommt aber erst am 9. Juni. In diesem Zeitfenster — Sicherheitsleute nennen es „Zero-Day-Phase“ — bist du auf dich allein gestellt und musst mit Beobachtung und Härtung gegenhalten. Exchange-Server sind ein beliebtes Ziel, weil sie per Definition aus dem Internet erreichbar sein müssen und tiefen Zugriff auf Postfächer, Kalender und oft das Active Directory haben. Genau deshalb landen Exchange-Lücken regelmäßig ganz oben auf den Warnlisten — und genau deshalb solltest du diese Tage besonders aufmerksam sein.
So überbrückst du die Tage bis zum Patch
- Patch vormerken: Sobald das Update am 9. Juni erscheint, sofort einspielen.
- Logs beobachten: Achte auf ungewöhnliche Authentifizierungen und auffälligen Mailverkehr.
- Angriffsfläche verkleinern: Exchange-Verwaltungsoberflächen gehören nicht offen ins Internet — prüfe deine Veröffentlichung und Firewall-Regeln.
- Mehrfaktor erzwingen: Wo möglich MFA aktivieren, das erschwert Spoofing-Folgeangriffe.
FAZIT: Eine ausgenutzte Lücke ohne fertigen Patch ist immer unangenehm. Bis zum 9. Juni heißt es: wachsam bleiben, Logs im Blick behalten und das Update sofort einspielen, sobald es da ist.
Häufige Fragen
Welche Exchange-Versionen sind betroffen?
Bin ich mit Microsoft 365 / Exchange Online sicher?
Was kann ein Angreifer mit einer Spoofing-Lücke anrichten?
Quellen: