Azure, Exchange, Copilot, Surface: CERT-Bund warnt vor mehreren Schwachstellen — was Administratoren jetzt prüfen müssen

Das Bundesamt für Sicherheit in der Informationstechnik hat über sein CERT-Bund eine Sicherheitswarnung zu mehreren Schwachstellen in verbreiteten Microsoft-Produkten veröffentlicht: Betroffen sind Microsoft Azure, Microsoft 365 Copilot, Microsoft Exchange und Microsoft Apps for Surface. Das Risiko-Level wird als „hoch“ eingestuft — Angreifer können laut Advisory Privilegien ausweiten und beliebigen Code ausführen.

Das Spektrum der betroffenen Produkte ist bemerkenswert breit. Azure betrifft Cloud-Infrastruktur, die viele Unternehmen für ihre Kernanwendungen und -dienste nutzen. Microsoft Exchange ist in zahlreichen Firmen die E-Mail- und Kalenderzentrale — eine Schwachstelle dort trifft oft die gesamte Kommunikationsinfrastruktur auf einen Schlag. Copilot bringt KI-Funktionen in den Microsoft-365-Alltag und ist damit in Unternehmen, die auf die KI-Assistenzfunktionen setzen, direkt im täglichen Arbeitsablauf verankert. Surface-Apps laufen auf den gleichnamigen Endgeräten, die im gehobenen Unternehmensumfeld weit verbreitet sind.

Warum Privilegien-Eskalation und RCE besonders ernst zu nehmen sind

Die zwei im Advisory genannten Angriffsvektoren verdienen besondere Aufmerksamkeit.

Privilegien-Eskalation bedeutet: Ein Angreifer, der bereits Zugang zu einem System hat — sei es über einen kompromittierten Account, eine weitere Schwachstelle oder Social Engineering — kann sich auf diesem System weitere Rechte verschaffen. Aus einem gewöhnlichen Nutzer-Account wird im ungünstigsten Fall ein Administrator-Account. In Cloud-Umgebungen wie Azure kann eine erfolgreiche Privilegieneskalation weitreichende Auswirkungen haben, abhängig von den betroffenen Diensten und den vergebenen Berechtigungen.

Remote Code Execution (RCE) ist die schwerere Klasse: Ein Angreifer kann über das Netzwerk beliebigen Code auf dem Zielsystem ausführen. Bei Exchange-Servern ist das ein besonders kritisches Szenario. Ist ein Exchange-Server aus dem Internet erreichbar, erhöht das die Angriffsfläche zusätzlich. Hinzu kommt, dass der E-Mail-Zugang als Authentifizierungsweg für zahlreiche Dienste gilt.

Was das für Ihre konkrete Umgebung bedeutet

Wenn Sie Microsoft-Cloud-Dienste nutzen, Exchange on-premises oder hybrid betreiben, oder Copilot im Einsatz haben, sollten Sie dieses Advisory nicht als „ein weiteres Microsoft-Update“ abtun.

Für Exchange on-premises gilt: Patches müssen aktiv eingespielt werden. Microsoft liefert hier keine automatischen Updates an alle Systeme — je nach Konfiguration müssen Administratoren manuell tätig werden. Das ist bekannt, aber in der Praxis immer wieder der Grund, warum Exchange-Server ungepatcht bleiben, lange nachdem Fixes verfügbar sind.

Für Azure und Copilot werden viele Sicherheitslücken von Microsoft Cloud-seitig gepatcht — als Kunde haben Sie beim Einspielen der Fixes selbst weniger direkten Handlungsbedarf. Aber: Konfigurationsempfehlungen aus dem Advisory sollten trotzdem gesichtet werden. Ein Cloud-Patch schließt eine Lücke in der Plattform, eine unsichere Konfiguration auf Kundenseite bleibt davon unberührt.

Surface-Geräte erhalten Updates über Windows Update und den Microsoft Store — automatische Updates sollten aktiv sein, aber ein kurzer Gegencheck lohnt sich.

Unsere Einschätzung

Aus unserer Sicht sollte Exchange ganz oben auf der Prioritätsliste stehen. Der Angriffsvektor ist bei on-premises-Servern direkter als in der Cloud, und Exchange ist erfahrungsgemäß eines der Systeme, bei denen Patch-Verzögerungen regelmäßig zu Vorfällen führen. Die Kombination aus E-Mail als universalem Authentifizierungsweg und häufig manuellem Update-Prozess macht Exchange on-premises zum klassischen Risiko-Kandidaten.

Die Breite des Advisorys zeigt vor allem, dass Administratoren ihre gesamte Microsoft-Umgebung betrachten sollten – nicht nur einzelne Produkte. Je nach eingesetzten Komponenten können unterschiedliche Maßnahmen erforderlich sein.

Was Sie jetzt tun sollten

1. Das CERT-Bund-Advisory WID-SEC-2026-2502 aufrufen und prüfen, welche konkreten Produktversionen und Komponenten betroffen sind.
2. Exchange-Systeme priorisieren: Aktuellen Patch-Stand prüfen, offene Updates identifizieren, Maintenance-Fenster einplanen.
3. Azure-Konfigurationen sichten: Gibt es Empfehlungen im Advisory, die eine Anpassung auf Ihrer Seite erfordern?
4. Copilot und Surface: Automatische Updates prüfen — bei verwalteten Geräten über Intune oder WSUS sicherstellen, dass der Rollout tatsächlich greift.

Wenn Sie unsicher sind, ob Ihre Exchange-Umgebung aktuell gepatcht ist, prüfen Sie die Build-Nummer gegen die aktuelle Versionsliste von Microsoft. Viele Exchange-Installationen laufen deutlich länger ohne das neueste kumulative Update als die Verantwortlichen annehmen — und genau das macht sie zum bevorzugten Ziel.

Quellen: CERT-Bund — „WID-SEC-2026-2502: Microsoft Azure, Copilot, Exchange, Surface: Mehrere Schwachstellen“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2502)