Exchange Server Sicherheitslücke CVE-2026-70571: Kritische RCE, letzter Patch für 2016/2019

Zusammenfassung

Mit den Oktober-Updates vom 13. Oktober 2026 hat Microsoft die kritische Schwachstelle für Remote Code Execution in Exchange Server geschlossen: CVE-2026-70571 (CWE-121: Stack-based Buffer Overflow). Laut Microsoft kann ein nicht authentifizierter Angreifer mit einer speziell präparierten E-Mail einen internen Prozess zur Inhaltskonvertierung auslösen und Code auf dem Server ausführen; eine Benutzerinteraktion ist nicht erforderlich, der Angreifer muss die Zielumgebung jedoch gut kennen (hohe Angriffskomplexität).

• CVSS 3.1: 8,1 (Vektor: AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H) – Microsoft-Einstufung: Kritisch
• Aktiv ausgenutzt: Nein, laut Microsoft; die Ausnutzung gilt als „wahrscheinlicher" (Exploitation More Likely).
• Status der Behebung: Patch verfügbar (siehe Tabelle unten).

Betroffene Versionen und Fixes

Dieselben Updates schließen neben CVE-2026-70571 fünf weitere Exchange-Schwachstellen (Rechteausweitung und Spoofing). Microsoft empfiehlt, nach der Installation den Exchange Server Health Checker laufen zu lassen.

Warum das wichtig ist

Dies ist das letzte Sicherheitsupdate für Exchange 2016/2019. Microsoft gibt an, dass der Support für Exchange 2016 und 2019 am 14. Oktober 2025 endete, dass Organisationen mit Period-2-ESU bis Ende Oktober 2026 Updates erhalten und dass danach keine Updates mehr folgen. Ohne ESU wird Ihnen dieser Patch nicht angeboten; Ihr Server ist seit Oktober 2025 ungepatcht. Auch mit ESU gibt es ab November 2026 keine Patches mehr für ähnliche Lücken.

Was ist jetzt zu tun?

1. Version und CU-Stand prüfen: Sehen Sie sich Get-ExchangeServer | Format-List Name,AdminDisplayVersion in der Exchange Management Shell an und lassen Sie den Health Checker laufen.
2. Das obige KB installieren – auf allen 2016/2019-Servern mit ESU und allen SE-Servern. Für 2016/2019 ist dies die letzte Gelegenheit.
3. Ohne ESU: Sie erhalten den Patch nicht. Beginnen Sie jetzt mit dem Upgrade auf Exchange SE oder dem Umzug zu Microsoft 365 / Exchange Online.
4. Risiko bis zur Migration senken: Machen Sie OWA und ECP möglichst nicht direkt aus dem Internet erreichbar, beschränken Sie den Admin-Zugriff, nutzen Sie MFA und überwachen Sie die Serverprotokolle. Das ersetzt den Patch nicht.

Wie kann Doğa Network helfen?

Unser Team unterstützt Sie beim In-Place-Upgrade von Exchange 2019 CU14/CU15 auf Exchange SE oder bei der Migration von Exchange 2016, beim Umzug zu Microsoft 365 / Exchange Online, bei der Lizenzberechnung nach der ESU (SA, CALs, Microsoft-365-Pläne) und bei der geplanten Installation dieses letzten Updates. Für eine kostenlose Einschätzung erreichen Sie uns unter +90 850 888 3642 oder per E-Mail an hi@doga.network.

Quellen

• MSRC – CVE-2026-70571
• Microsoft Support – Exchange SE, 13. Oktober 2026 (KB5128895)
• Microsoft Support – Exchange 2019 CU15, 13. Oktober 2026 (KB5128896)
• Microsoft Support – Exchange 2019 CU14, 13. Oktober 2026 (KB5128897)
• Microsoft Support – Exchange 2016 CU23, 13. Oktober 2026 (KB5128898)