Microsoft Exchange-Sicherheitslücke CVE-2026-96940: NCSC warnt vor Privilege Escalation
Eine neue Microsoft Exchange Sicherheitslücke ermöglicht es einem authentifizierten Angreifer, seine Berechtigungen innerhalb einer On-Premises-Exchange-Umgebung zu erhöhen. Die Schwachstelle wird als CVE-2026-96940 geführt und hat einen CVSS-Score von 8,8 High.
Das niederländische National Cyber Security Centre (NCSC) hat am 6. Oktober 2026 eine Sicherheitswarnung veröffentlicht und empfiehlt Betreibern von Microsoft Exchange Server, die verfügbaren Sicherheitsupdates möglichst schnell zu installieren.
Microsoft hat CVE-2026-96940 bereits am 2. Oktober 2026 in Version 2 der September 2026 Exchange Server Security Updates aufgenommen. Für Exchange Online hat Microsoft die erforderlichen Maßnahmen zentral durchgeführt. Betreiber eigener Exchange-Server müssen dagegen selbst aktiv werden.
Was ist die Microsoft Exchange Sicherheitslücke CVE-2026-96940?
CVE-2026-96940 betrifft unzureichende Autorisierungskontrollen innerhalb von Microsoft Exchange Server.
Ein Angreifer benötigt zunächst gültige Zugangsdaten für die betroffene Exchange-Umgebung. Anschließend kann die Schwachstelle über das Netzwerk genutzt werden, um höhere Berechtigungen zu erhalten, als dem betreffenden Konto normalerweise zustehen.
Das NCSC beschreibt das Sicherheitsproblem als Privilege Escalation und bewertet die mögliche Auswirkung als hoch.
Microsoft hat die Schwachstelle intern entdeckt und mit den aktualisierten September 2026 V2 Security Updates behoben.
Welche Exchange-Versionen sind betroffen?
Die veröffentlichten Sicherheitsupdates betreffen folgende Exchange-Versionen:
- Microsoft Exchange Server Subscription Edition RTM
- Microsoft Exchange Server 2019 CU14
- Microsoft Exchange Server 2019 CU15
- Microsoft Exchange Server 2016 CU23
Für Exchange Server 2016 und Exchange Server 2019 ist zusätzlich zu beachten, dass diese Produktgenerationen regulär nicht mehr unterstützt werden.
Die aktuellen Sicherheitsupdates für diese Versionen sind nur für Organisationen verfügbar, die am entsprechenden Extended Security Update-Programm teilnehmen.
Microsoft empfiehlt Organisationen, die Exchange 2016 oder Exchange 2019 noch ohne dieses ESU-Programm betreiben, auf Exchange Server Subscription Edition zu migrieren.
Exchange Online ist bereits aktualisiert
Organisationen, die ausschließlich Microsoft Exchange Online verwenden, müssen voor CVE-2026-96940 keine eigenen Exchange-Serverupdates installieren.
Microsoft hat die noodzakelijke maatregelen voor Exchange Online centraal uitgevoerd.
De NCSC-waarschuwing is daarom vooral relevant voor organisaties die Microsoft Exchange Server zelf beheren, bijvoorbeeld op eigen hardware, virtuele servers of binnen een private datacenteromgeving.
Wie funktioniert die Privilege Escalation?
Für eine erfolgreiche Ausnutzung benötigt ein Angreifer bereits gültige Zugangsdaten für die Exchange-Umgebung.
Die Schwachstelle ermöglicht also keinen direkten Zugriff auf einen Exchange-Server ohne Authentifizierung.
Nach erfolgreicher Anmeldung können unzureichende Autorisierungskontrollen jedoch dazu führen, dass ein Konto Aktionen ausführen kann, für die es normalerweise nicht autorisiert ist.
Ein solcher Angriff kann besonders relevant sein, wenn Zugangsdaten beispielsweise zuvor durch Phishing, Passwortwiederverwendung, Malware oder eine andere Sicherheitslücke kompromittiert wurden.
Welche Auswirkungen kann CVE-2026-96940 haben?
Nach Angaben des NCSC kann eine erfolgreiche Ausnutzung unter anderem zu nicht autorisierten administrativen Aktionen innerhalb der Exchange-Serverumgebung führen.
Mögliche Auswirkungen sind abhängig von den tatsächlich erreichten Berechtigungen und der Konfiguration der Exchange-Umgebung.
Dazu können gehören:
- Zugriff auf Funktionen, für die das kompromittierte Konto normalerweise nicht autorisiert ist;
- nicht autorisierte administrative Änderungen;
- Zugriff auf sensible Informationen;
- Manipulation von Exchange-Konfigurationen;
- Missbrauch eines bereits kompromittierten Benutzerkontos als Ausgangspunkt für weitere Angriffe.
Vservs beschreibt CVE-2026-96940 ausdrücklich als Privilege-Escalation-Schwachstelle und nicht als unauthentifizierte Remote Code Execution.
Wird CVE-2026-96940 aktiv ausgenutzt?
Zum Zeitpunkt dieser Veröffentlichung gibt es keine Bestätigung einer aktiven Ausnutzung von CVE-2026-96940.
Microsoft gibt an, die Schwachstelle intern entdeckt zu haben und keine Kenntnis von aktiver Exploitation zu besitzen.
Auch das NCSC meldet derzeit keine Hinweise darauf, dass CVE-2026-96940 aktiv ausgenutzt wird.
Das Fehlen bestätigter Angriffe ist jedoch kein Grund, die verfügbaren Sicherheitsupdates aufzuschieben.
Microsoft veröffentlichte das Update vorzeitig
Microsoft weist darauf hin, dass die Veröffentlichung dieses Updates ungewöhnlich verlief.
CVE-2026-96940 wurde vor dem ursprünglich vorgesehenen Veröffentlichungstermin bekannt beziehungsweise veröffentlicht. Microsoft entschied sich deshalb dafür, die Schwachstelle vorzeitig in eine V2-Version der September 2026 Exchange Server Security Updates aufzunehmen.
Microsoft empfiehlt Kunden ausdrücklich, die Deployment-Anweisungen zu prüfen und das Update zum frühestmöglichen Zeitpunkt zu installieren.
Was sollten Exchange-Administratoren jetzt tun?
- Prüfen Sie, welche Exchange-Server und Versionen innerhalb der Organisation betrieben werden.
- Kontrollieren Sie, ob die September 2026 V2 Security Updates installiert sind.
- Installieren Sie die verfügbaren Sicherheitsupdates so schnell wie betrieblich möglich.
- Prüfen Sie nach der Installation den Exchange-Serverstatus und die relevanten Dienste.
- Kontrollieren Sie administrative Konten und Berechtigungen auf unerwartete Änderungen.
- Untersuchen Sie verdächtige Anmeldungen und ungewöhnliche administrative Aktivitäten.
- Prüfen Sie, ob noch Exchange Server 2016 oder 2019 außerhalb des unterstützten ESU-Modells betrieben werden.
Exchange-Umgebung auf verdächtige Aktivitäten prüfen
Da für die Ausnutzung gültige Zugangsdaten erforderlich sind, sollten Administratoren insbesondere Authentifizierungs- und Administrationsaktivitäten überprüfen.
Achten Sie unter anderem auf:
- Anmeldungen von unbekannten oder ungewöhnlichen IP-Adressen;
- administrative Aktionen durch Konten, die diese normalerweise nicht durchführen;
- unerwartete Änderungen an Exchange-Berechtigungen;
- neue oder unbekannte administrative Konten;
- ungewöhnliche Änderungen an Mailbox-, Transport- oder Serverkonfigurationen;
- auffällige Aktivitäten nach einer verdächtigen Benutzeranmeldung;
- andere Hinweise auf kompromittierte Exchange-Zugangsdaten.
Ein verdächtiger Login allein beweist nicht, dass CVE-2026-96940 ausgenutzt wurde. Authentifizierungs-, Exchange- und Windows-Logs sollten gemeinsam ausgewertet werden.
On-Premises Exchange bedeutet kontinuierliches Sicherheitsmanagement
Microsoft Exchange Server ist eine umfangreiche Business-Kommunikationsplattform. Wer Exchange On-Premises betreibt, übernimmt damit auch Verantwortung für das kontinuierliche technische Management der vollständigen Umgebung.
Dazu gehören unter anderem:
- Exchange Security Updates;
- Windows Server Updates;
- TLS- und Zertifikatsmanagement;
- Monitoring;
- Backup und Wiederherstellung;
- Spam- und Malware-Schutz;
- Identitäts- und Zugriffsmanagement;
- Überwachung von Sicherheitsmeldungen und CVEs.
Gerade kleinere und mittelständische Unternehmen benötigen diese Komplexität nicht immer selbst.
Kerio Connect als verwaltete Alternative zu Microsoft Exchange
Für Unternehmen, die professionelle Business-E-Mail, Kalender, Kontakte und mobile Synchronisierung benötigen, aber keinen eigenen Microsoft Exchange Server betreiben möchten, bietet Vservs eine vollständig verwaltete Kerio Connect Mailserver-Lösung.
Kerio Connect kombiniert klassische Business-Mailfunktionen mit offenen Standards wie IMAP, SMTP, CalDAV und CardDAV sowie Unterstützung für mobile Synchronisierung und gemeinsame Kalender und Kontakte.
Der entscheidende Unterschied liegt für viele Unternehmen jedoch nicht allein in der eingesetzten Mailsoftware, sondern im Betriebsmodell.
Bei Vservs wird die Mailserver-Infrastruktur technisch verwaltet. Unternehmen müssen dadurch nicht selbst einen vollständigen Exchange-Server inklusive Betriebssystem, Security Updates, Maildienste, Zertifikate, Monitoring und Backup betreiben.
Europäisches E-Mail-Hosting und Datenschutz
Geschäftliche E-Mail enthält häufig besonders sensible Informationen: Verträge, Rechnungen, Personalinformationen, Kundendaten, juridische communicatie, medische informatie of andere persoonsgegevens.
De locatie en het beheer van de mailomgeving zijn daarom relevante onderdelen van een bredere AVG/DSGVO-strategie.
De door Vservs aangeboden Kerio Connect-mailomgevingen worden binnen de Europese Unie gehost. Hierdoor kunnen organisaties hun zakelijke e-mail onderbrengen binnen een Europese hostingomgeving en het aantal externe platformen dat bij de mailverwerking betrokken is beperken.
Dat kan organisaties ondersteunen bij eisen rond gegevensbescherming, gegevenslocatie en controle over hun IT-infrastructuur.
Europese hosting betekent echter niet automatisch dat een organisatie daarmee volledig aan de DSGVO voldoet. AVG/DSGVO-compliance hangt eveneens af van onder andere het doel van de verwerking, toegangsbeheer, technische en organisatorische maatregelen, bewaartermijnen, verwerkersafspraken en eventuele subverwerkers.
Vservs kiest daarom bewust voor een technisch en organisatorisch model waarbij controle over de mailinfrastructuur, professionele serverbeveiliging en Europese gegevensopslag centraal staan, zonder te suggereren dat één mailproduct op zichzelf volledige juridische compliance kan garanderen.
Interessant voor advocaten, zorgorganisaties en andere privacygevoelige bedrijven
Een beheerde Europese mailomgeving kan met name interessant zijn voor organisaties die veel vertrouwelijke of persoonsgegevens via e-mail verwerken.
Denk bijvoorbeeld aan:
- advocaten en juridische dienstverleners;
- zorgverleners en psychologen;
- accountants en financiële dienstverleners;
- gemeenten, scholen en maatschappelijke organisaties;
- consultants en zakelijke dienstverleners;
- bedrijven die bewust meer controle over hun e-mailinfrastructuur willen behouden.
Voor dergelijke organisaties kan het relevant zijn om niet alleen naar functionaliteit en mailboxprijs te kijken, maar ook naar hostinglocatie, technisch beheer, back-ups, toegangsbeveiliging en de partijen die bij de verwerking betrokken zijn.
2FA en App-Passwörter bei Kerio Connect
Kerio Connect unterstützt Zwei-Faktor-Authentifizierung für den Kerio Connect Client beziehungsweise Webmail und die relevanten webbasierten Anmeldungen.
Für klassische E-Mail-Protokolle wie IMAP und SMTP funktioniert die Authentifizierung technisch anders.
Nach Aktivierung von 2FA können für E-Mail-Clients separate App-Passwörter verwendet werden. Dadurch muss das normale Benutzerpasswort nicht direkt in einem klassischen Mailclient hinterlegt werden.
Das ist ein wichtiges Detail: Die 2FA-Absicherung einer Webmail-Anmeldung darf nicht mit einer interaktiven Zwei-Faktor-Abfrage bei jedem IMAP- oder SMTP-Verbindungsaufbau gleichgesetzt werden.
Vservs kann die Mailumgebung so konfigurieren, dass Benutzer moderne Zugangsschutzmaßnahmen einsetzen und für kompatible Clients geeignete App-Passwörter verwenden.
Antivirus, Antispam, TLS und Backup
Eine professionelle Mailumgebung benötigt mehr als nur Postfächer.
Die von Vservs angebotenen Kerio Connect-Umgebungen können unter anderem folgende Sicherheits- und Betriebsfunktionen kombinieren:
- verschlüsselte Verbindungen über TLS;
- Kerio Antivirus;
- Spamfilterung;
- Two-Factor Authentication;
- App-Passwörter für geschikte mailclients;
- dagelijkse back-ups;
- herstelmogelijkheden voor verwijderde e-mail;
- monitoring van de mailserver;
- professioneel technisch beheer;
- ondersteuning bij SPF, DKIM en DMARC;
- SSL/TLS-certificaatbeheer.
Daarnaast kunnen organisaties die aanvullende vertrouwelijkheid nodig hebben gebruikmaken van technologieën zoals S/MIME voor het ondertekenen en versleutelen van individuele e-mailberichten.
Geen enkele mailserver is immuun voor kwetsbaarheden
De waarschuwing rond CVE-2026-96940 betekent niet dat Microsoft Exchange per definitie onveilig is of dat Kerio Connect geen beveiligingskwetsbaarheden kan bevatten.
Iedere complexe mailserver kan securityupdates nodig hebben.
Het relevante verschil voor organisaties is daarom vooral hoe snel kwetsbaarheden worden opgevolgd, wie verantwoordelijk is voor het technisch beheer en hoeveel expertise nodig is om de omgeving veilig en actueel te houden.
Bij een managed mailomgeving neemt Vservs een belangrijk deel van dat operationele beheer uit handen.
Overstappen van Microsoft Exchange naar Kerio Connect
Organisaties die hun eigen Exchange-infrastructuur willen vereenvoudigen of meer controle over de locatie en het beheer van zakelijke e-mail willen, kunnen hun bestaande mailomgeving naar Vservs laten migreren.
Afhankelijk van de bestaande omgeving kunnen onder andere mailboxen, e-mail, contacten en agenda’s worden meegenomen.
Kerio Connect ondersteunt verschillende mailclients en apparaten, waaronder Apple Mail, mobiele apparaten en compatibele Outlook-configuraties.
Daardoor is het voor veel organisaties mogelijk om de bestaande gebruikerservaring grotendeels te behouden terwijl de achterliggende mailinfrastructuur wordt vervangen.
Vservs Managed Kerio Connect Mailserver
Met Vservs Kerio Connect kiest u niet alleen voor een mailbox, maar voor een professioneel beheerde Business-E-Mail-Umgebung.
Vservs verzorgt het technische mailserverbeheer, beveiligingsupdates, monitoring, back-ups, certificaten en ondersteuning bij de relevante mail- en DNS-configuratie.
Voor organisaties die waarde hechten aan Europese hosting, controle over hun zakelijke communicatie en persoonlijk technisch support kan Kerio Connect daarmee een praktisch alternatief zijn voor het zelf beheren van Microsoft Exchange.
Zusammenfassung
- Software: Microsoft Exchange Server
- CVE: CVE-2026-96940
- Schwachstelle: Privilege Escalation / unzureichende Autorisierung
- CVSS: 8,8 – High
- Authent