CVE-2026-69356 und CVE-2026-69641: Sicherheitsupdates für Microsoft Exchange Server
Ce texte a été généré par l'intelligence artificielle (IA).Microsoft hat am 8. September 2026 Sicherheitsupdates für zwei kritische Schwachstellen in Exchange Server veröffentlicht. CVE-2026-69356 ist eine Spoofing-Schwachstelle mit einem CVSS-Wert von 9.3. CVE-2026-69641 betrifft eine Rechteausweitung innerhalb von Exchange Server und hat einen CVSS-Wert von 9.1. Nach aktueller Einschätzung von Microsoft werden beide Schwachstellen nicht aktiv ausgenutzt (Stand: 8. September 2026).
Betroffen sind bestimmte lokal betriebene Installationen von Exchange Server. Exchange Online ist nicht betroffen.
Exchange Server 2016 CU23 (ESU Period 2), Exchange Server 2019 CU14 (ESU Period 2), Exchange Server 2019 CU15 (ESU Period 2), Exchange Server Subscription Edition RTM
Microsoft Exchange Server
Exchange Server 2016 CU23 (ESU Period 2), Exchange Server 2019 CU14 (ESU Period 2), Exchange Server 2019 CU15 (ESU Period 2), Exchange Server Subscription Edition RTM
Microsoft Exchange Server
Exchange Server 2016 CU23 (ESU Period 2), Exchange Server 2019 CU14 (ESU Period 2), Exchange Server 2019 CU15 (ESU Period 2), Exchange Server Subscription Edition RTM
Microsoft Exchange Server
Exchange Server 2016 CU23 (ESU Period 2), Exchange Server 2019 CU14 (ESU Period 2), Exchange Server 2019 CU15 (ESU Period 2), Exchange Server Subscription Edition RTM
Vulnérabilité : CVE-2026-69356 (CVSS 9,3, critique) ; autres : CVE-2026-69641
Statut : aucun abus avéré à ce jour
Betroffene Exchange-Installationen
Die Sicherheitsupdates betreffen folgende Exchange-Ausgaben:
Exchange Server 2016 CU23 mit ESU Period 2
Exchange Server 2019 CU14 mit ESU Period 2
Exchange Server 2019 CU15 mit ESU Period 2
Exchange Server Subscription Edition RTM
Für Exchange Server 2016 und Exchange Server 2019 stehen die Sicherheitsupdates nur Kunden mit ESU Period 2 zur Verfügung. Beide Produktlinien sind seit dem 14. Oktober 2025 außerhalb des regulären Supports. ESU Period 2 deckt den Zeitraum von Mai bis Oktober 2026 ab und ermöglicht damit eine letzte Phase bezahlter Sicherheitsupdates für Organisationen, die ihre Migration noch nicht abgeschlossen haben.
CVE-2026-69356: Spoofing von Absenderidentitäten
CVE-2026-69356 trägt die Bezeichnung Microsoft Exchange Server Spoofing Vulnerability. Laut Microsoft MSRC kann ein Angreifer dabei einen anderen Absender imitieren. Der Angriff ist über das Netzwerk möglich, erfordert keine erhöhten Rechte und setzt eine Nutzerinteraktion voraus.
Die Schwachstelle hat einen CVSS-Wert von 9.3.
CVE-2026-69641: Rechteausweitung in Exchange Server
CVE-2026-69641 ist als Microsoft Exchange Server Elevation of Privilege Vulnerability eingestuft. Die Schwachstelle ermöglicht eine Rechteausweitung innerhalb von Exchange Server und erfordert hohe Rechte des Angreifers, jedoch keine Nutzerinteraktion. Microsoft MSRC weist für die Schwachstelle einen CVSS-Wert von 9.1 aus. Das CVSS-Attribut Scope Changed weist darauf hin, dass ein erfolgreicher Angriff Auswirkungen über den Exchange-Server hinaus haben kann.
Patchstatus, ESU-Berechtigung und Migration prüfen
Organisationen mit lokal betriebenem Exchange Server sollten zunächst prüfen, ob die genannten Exchange-Ausgaben eingesetzt werden und ob CVE-2026-69356 oder CVE-2026-69641 relevant sind. Bei Exchange Server 2016 und 2019 gehört auch die Prüfung der ESU-Period-2-Berechtigung dazu.
Microsoft empfiehlt, das September-2026-Sicherheitsupdate auf allen betroffenen Exchange-Servern einzuspielen. Zur Verifikation einer erfolgreichen Installation empfiehlt das Exchange-Team den Exchange Server Health Checker laut Microsoft Exchange Team Blog.
Ohne ESU Period 2 soll die Migration zu Exchange Server Subscription Edition priorisiert werden. Auch für Umgebungen mit ESU Period 2 ist die Migration relevant, da diese Update-Phase nur bis Oktober 2026 läuft.
Für Exchange Online ist laut Microsoft keine Maßnahme aus diesem Advisory erforderlich.
Organisationen in Deutschland und Österreich, die unter die NIS-2-Richtlinie fallen – umgesetzt in Deutschland über das NIS2UmsuCG, in Österreich über das NISG –, sind verpflichtet, kritische Sicherheitsupdates unverzüglich zu evaluieren und einzuspielen. Das BSI empfiehlt grundsätzlich, kritische Patches innerhalb weniger Tage nach Veröffentlichung zu installieren. In der Schweiz gilt das revidierte Informationssicherheitsgesetz (ISG); Betreiber kritischer Infrastrukturen unterliegen einer Meldepflicht an das BACS bei ausnutzbaren Schwachstellen in kritischen Systemen.
Extern erreichbare Exchange-Dienste zuordnen
Lokal betriebene Exchange-Server können unter einer eigenen Domain öffentlich erreichbar sein. LocateRisk kann solche extern erreichbaren Mail-Server als Assets sichtbar machen und für die technische Bearbeitung priorisieren.
Diese Sichtbarkeit ersetzt keine Prüfung installierter Softwarestände und keine Verifikation der konkreten Betroffenheit durch CVE-2026-69356 oder CVE-2026-69641. Für die Bearbeitung gehören daher die Zuordnung des erkannten Dienstes zu Eigentümern und Betriebsmodell, die Prüfung der ESU-Period-2-Berechtigung sowie die Kontrolle des Patchstatus zusammen.
Im Vendor Risk Management kann LocateRisk Sicherheitsmeldungen zu Technologieanbietern in die Bewertung externer Abhängigkeiten einbeziehen. Bei dieser Meldung liegt der unmittelbare technische Bezug bei den eigenen öffentlich erreichbaren Exchange-Instanzen.
Suis-je concerné ?
Betroffen ist Microsoft Exchange Server in den oben genannten Versionen. Wer wissen will, ob Microsoft Exchange Server in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
Betroffen sind Exchange Server 2016 CU23 (ESU Period 2), Exchange Server 2019 CU14 (ESU Period 2), Exchange Server 2019 CU15 (ESU Period 2) sowie Exchange Server Subscription Edition RTM. Exchange Online ist nicht betroffen.
Nach aktueller Einschätzung von Microsoft werden beide Schwachstellen nicht aktiv ausgenutzt. Microsoft stuft die Exploitability dennoch als kritisch ein, weshalb das Einspielen des September-2026-Sicherheitsupdates empfohlen wird.
ESU Period 2 ist ein kostenpflichtiges Programm, das Sicherheitsupdates für Exchange Server 2016 und 2019 über deren reguläres Support-Ende (14. Oktober 2025) hinaus bereitstellt. Der Zeitraum läuft von Mai 2026 bis Oktober 2026. Eine automatische Einschreibung erfolgt nicht; Organisationen müssen ESU Period 2 separat erwerben.
Das CVSS-Attribut Scope Changed bedeutet, dass ein erfolgreicher Angriff Auswirkungen über die betroffene Komponente – den Exchange-Server selbst – hinaus haben kann und potenziell angrenzende Systeme oder Ressourcen betrifft.
Stand: 09.09.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Une estimation approximative en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-69356
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English