Microsoft hat mit den October 2026 Early Security Updates eine Schwachstelle in Microsoft Exchange Server veröffentlicht, die kleine und mittlere Unternehmen mit eigener oder hybrider Exchange-Umgebung sofort einordnen sollten. CVE-2026-96940 betrifft Outlook Web Access (OWA), ist mit CVSS 8.8 als „Important“ bewertet und wird von Microsoft als „Exploitation More Likely“ eingestuft. Exchange Online ist laut Microsoft bereits dienstseitig abgesichert; Handlungsbedarf besteht für betroffene lokale Exchange-Server.
Was Microsoft zu CVE-2026-96940 meldet
Die Schwachstelle entsteht laut Microsoft, wenn Exchange OWA Webanfragen nicht korrekt verarbeitet. Ein Angreifer mit vorhandener Anmeldung könnte Script- oder Content-Injection-Angriffe auslösen und Benutzer dazu verleiten, sensible Informationen offenzulegen. Microsoft beschreibt außerdem, dass ein Angreifer eine präparierte E-Mail oder eine Chat-Nachricht mit einem schädlichen Link nutzen könnte; für die Ausnutzung muss ein Benutzer diesen Link anklicken.
Wichtig für die Risikobewertung: Microsoft meldet die Schwachstelle nicht als öffentlich bekannt und nicht als ausgenutzt. Die Einstufung „Exploitation More Likely“ heißt aber, dass Administratoren das Update nicht als normale Wartungsnotiz behandeln sollten.
Welche Exchange-Systeme betroffen sind
Der MSRC-Datensatz nennt vier betroffene lokale Exchange-Produkte. Wer Exchange nur als Exchange Online nutzt, muss für diese CVE laut Microsoft keine Maßnahme durchführen. Wer jedoch aus historischen Gründen, wegen SMTP-Relay, Verwaltungswerkzeugen oder hybrider Identität noch Exchange Server betreibt, sollte die Version aktiv prüfen.
- Microsoft Exchange Server Subscription Edition RTM: KB5129955, Fixed Build 15.02.2562.053.
- Microsoft Exchange Server 2019 Cumulative Update 15: KB5129956, Fixed Build 15.02.1748.053.
- Microsoft Exchange Server 2019 Cumulative Update 14: KB5129957, Fixed Build 15.02.1544.048.
- Microsoft Exchange Server 2016 Cumulative Update 23: KB5129958, Fixed Build 15.01.2507.075.
Frist und Priorität für KMU
Microsoft nennt kein zukünftiges Abschaltdatum, sondern hat die Updates am 2. Oktober 2026 veröffentlicht. Die Frist ist damit praktisch der nächste kontrollierte Wartungstermin. Damit ist das Thema keine allgemeine Patch-Tuesday-Notiz, sondern eine konkrete Betriebsaufgabe. Für Unternehmen mit 10 bis 250 Arbeitsplätzen ist das besonders relevant, weil lokale Exchange-Server dort oft selten angefasst werden, aber trotzdem Internetzugang, OWA oder Hybridfunktionen bereitstellen.
Die Cloud-CVEs aus demselben Release sind anders zu bewerten: Bei Microsoft Bookings, Partner Center, Dataverse und Azure App Service schreibt Microsoft jeweils, dass die Schwachstellen bereits vollständig von Microsoft mitigiert wurden und keine Nutzeraktion erforderlich ist. Dieser Beitrag konzentriert sich deshalb nur auf Exchange Server.
Warum Exchange Online anders bewertet wird
Microsoft schreibt in der FAQ zu CVE-2026-96940, dass für Exchange Online bereits ein verwandter dienstseitiger Fix bereitgestellt wurde. Exchange-Online-Kunden müssen nichts tun, um diesen Fix zu erhalten. Das ist kein Freibrief für hybride Umgebungen: Sobald ein lokaler Exchange-Server im Tenant-Kontext weiterläuft, zählt dessen Patchstand separat.
Gerade bei Microsoft 365 Beratung fällt häufig auf, dass die Postfächer längst in der Cloud liegen, aber alte Server für Verwaltung, Relay oder Drittanwendungen weiter betrieben werden. Diese Systeme sollten in der Bestandsaufnahme nicht unter „legacy“ verschwinden, sondern mit Version, Exponierung und Zuständigkeit dokumentiert werden.
Was Administratoren jetzt prüfen sollten
- Inventarisieren Sie alle lokalen Exchange-Server, auch ausgeschaltete oder nur intern genutzte Verwaltungsserver.
- Vergleichen Sie CU-Stand und Build mit den von Microsoft genannten Fixed Builds und KB-Nummern.
- Planen Sie die Installation der passenden Sicherheitsupdates und prüfen Sie vorher Backup, Wartungsfenster und Rollback-Pfad.
- Kontrollieren Sie, ob OWA oder Exchange Admin Center direkt aus dem Internet erreichbar sind, und begrenzen Sie den Zugriff, wenn er nicht nötig ist.
- Prüfen Sie nach dem Update Anmeldeprotokolle, OWA-Zugriffe und auffällige Link-Kampagnen im Zeitraum seit Veröffentlichung.
Wenn unklar ist, ob ein lokaler Exchange-Server noch benötigt wird, sollte das nicht als Lizenzfrage behandelt werden. Entscheidend ist die technische Abhängigkeit: Welche Systeme nutzen ihn noch, welche Identitäts- oder Mailflüsse hängen daran, und wie wird er gehärtet oder abgelöst?
Offizielle Microsoft-Quellen
- Microsoft Security Update Guide: CVE-2026-96940
- Microsoft Security Update Guide: October 2026 Early Security Updates
- Microsoft Exchange Team Blog: September 2026 V2 Exchange Server Security Updates
ReByteIT prüft im Rahmen eines Microsoft Security Assessments, ob lokale Exchange-Server, Hybridreste und externe Zugänge sauber dokumentiert und aktualisiert sind. Wenn Sie Unterstützung bei der technischen Einordnung brauchen, können Sie einen Termin buchen.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
