Draait uw mail nog op een eigen Exchange-server in de serverkast? Dan is er begin oktober een lek bekend geworden waar u iets mee moet. Gebruikt u Microsoft 365 voor de mail, dan kunt u rustig verder lezen: daar heeft Microsoft het al opgelost.
Wat er aan de hand is
Microsoft heeft op 2 oktober een kwetsbaarheid in Exchange Server bekendgemaakt en het Nationaal Cyber Security Centrum (NCSC) waarschuwde er op 6 oktober voor. Het lek zit in de manier waarop Exchange controleert wie wat mag. Iemand die al kan inloggen met een geldig account, kan daardoor meer rechten krijgen dan de bedoeling is en de mailboxen van collega’s lezen, inclusief bijlagen.
- Kwetsbaar zijn Exchange Server 2016 (CU23), Exchange Server 2019 (CU14 en CU15) en de nieuwe Subscription Edition.
- Niet kwetsbaar is Exchange Online, de mail in Microsoft 365. Daar hoeft u niets te doen.
- Misbruik is nog niet waargenomen, maar Microsoft schat de kans dat het gebeurt hoger in dan gemiddeld.
Waarom dit voor een klein bedrijf telt
Dat een aanvaller eerst een account nodig heeft, klinkt geruststellend. Dat is het niet. Het wachtwoord van één medewerker is via een nagemaakte inlogpagina zo buitgemaakt. Met dit lek wordt dat ene account de sleutel tot de mail van iedereen: offertes, salarisgegevens, afspraken met de bank. Precies de informatie die iemand nodig heeft voor een overtuigende valse factuur.
Daar komt bij dat Exchange 2016 en 2019 sinds oktober 2025 geen gewone ondersteuning meer hebben. Beveiligingsupdates zoals deze krijgen alleen nog organisaties met een betaalde verlenging bij Microsoft. Zonder die verlenging blijft het lek open.
Wat u nu kunt doen
- Zoek uit waar uw mail draait. Weet u het niet zeker, vraag het dan aan uw ICT-partner. Staat alles in Microsoft 365, dan bent u klaar.
- Installeer de update. Draait u zelf Exchange met een verlenging, installeer dan zo snel mogelijk de beveiligingsupdate van Microsoft en controleer daarna of het nieuwe buildnummer er echt op staat.
- Kijk in de logboeken. Ga na of er de afgelopen weken ongebruikelijke toegang tot mailboxen was, vooral door accounts die dat normaal nooit doen.
- Zet een tweede stap bij het inloggen aan. Met MFA is een gestolen wachtwoord veel minder waard, ook bij dit soort lekken.
- Plan het afscheid. Heeft u geen verlenging, of loopt die binnenkort af, maak dan een plan om de mail naar Microsoft 365 te verhuizen. Een eigen mailserver vraagt elk jaar meer onderhoud voor hetzelfde resultaat.
Eigen server of cloud?
Een eigen Exchange-server was jarenlang een logische keuze. Voor de meeste kleine bedrijven weegt dat niet meer op tegen de updates, de licenties en het risico. Er zijn uitzonderingen, en die zetten we op een rij in ons artikel over wanneer de overstap naar de cloud niet slim is.
Hoe wij dit aanpakken
Voor klanten in ons beheer houden wij bij welke Exchange-servers er nog draaien, installeren wij beveiligingsupdates zodra ze beschikbaar zijn en plannen wij de overstap naar Microsoft 365 in overleg, op een moment dat het werk er niet onder lijdt.
Wilt u weten hoe het er bij u voor staat? Bel 0548-541219 of vraag een gratis consult aan. Wij zeggen eerlijk wat er wel en niet nodig is.