Kritieke kwetsbaarheid Exchange Server: direct actie vereist

Het is een gewone maandagochtend. Je opent je mailbox, beantwoordt een paar berichten en start je dag. Ondertussen, ergens op de achtergrond, heeft iemand met een gestolen wachtwoord al toegang tot je volledige e-mailserver. Inclusief alle klantcorrespondentie, offertes, contracten en personeelsgegevens. Dit klinkt als een worst-case scenario, maar het is precies wat er kan gebeuren als je Microsoft Exchange Server draait en de recente kritieke kwetsbaarheid nog niet hebt gepatcht.

Herken je de situatie dat beveiligingsupdates worden uitgesteld omdat er 'geen goed moment' voor is? Je bent niet alleen. Het is een van de meest voorkomende patronen die ik zie bij MKB-bedrijven in Brabant, en het is precies het patroon waar aanvallers op rekenen.

Wat is er aan de hand?

Het Nationaal Cyber Security Centrum (NCSC) heeft in oktober 2026 een ernstige kwetsbaarheid gepubliceerd in Microsoft Exchange Server, geregistreerd onder CVE-2026-96940. De risicoscore bedraagt 8,8 op 10, wat de kwetsbaarheid officieel in de categorie 'Hoog' plaatst. Ter vergelijking: 'Kritiek' begint pas bij een score van 9,0. Het scheelt dus weinig.

Wat deze kwetsbaarheid extra zorgwekkend maakt: het Digital Trust Center van het Ministerie van Economische Zaken bevestigt dat er al actief misbruik van wordt gemaakt. Dit is geen theoretisch risico meer. Aanvallers zijn al bezig.

Waarom is dit zo gevaarlijk voor MKB?

De technische kern van de kwetsbaarheid legt meteen de zwakke plek van veel MKB-organisaties bloot. Een aanvaller heeft slechts één geldig gebruikersaccount nodig om de aanval te starten. Dat is het. Geen geavanceerde technieken, geen insider-kennis van je infrastructuur. Eén wachtwoord, verkregen via een phishingmail of een eerder datalek, is voldoende als springplank.

Zodra een aanvaller via dat account binnenkomt, kan hij via deze kwetsbaarheid hogere rechten op de Exchange Server verkrijgen. Dat betekent toegang tot alle e-mailboxen in je organisatie, inclusief die van de directie, de financiële afdeling en HR. Denk aan offertes, salarisstroken, klantafspraken, strategische plannen. Alles wat door jullie mailserver stroomt, ligt dan op straat.

Als ik dit bespreek met klanten, zie ik vaak dezelfde reactie: 'Maar wij zijn toch niet interessant voor hackers?' Dat is helaas een misvatting die ik keer op keer moet rechtzetten. Geautomatiseerde aanvallen scannen het internet af op kwetsbare systemen, zonder te kijken naar de grootte of de sector van een bedrijf. Als jouw Exchange Server bereikbaar is en niet gepatcht, ben je een doelwit.

Een klant die net op tijd was

Een klant van ons, een administratiekantoor in de regio met een kleine twintig medewerkers, draaide tot voor kort een on-premise Exchange Server. Netjes ingericht, jaren geleden, en het werkte prima. Toen dit soort kwetsbaarheden opdoken, belden we hen proactief. De reactie van de directeur was eerlijk: 'Ik wist niet eens dat we nog op eigen servers draaiden, ik dacht dat alles allang in de cloud zat.'

We hebben binnen twee dagen de patch uitgerold, het detectiescript van Microsoft gedraaid en gecontroleerd op sporen van eerder misbruik. Gelukkig was er niks te vinden. Maar het gesprek daarna was minstens zo waardevol: samen hebben we besloten om de Exchange Server te migreren naar Microsoft 365. Geen eigen hardware meer die je bijhoudt, automatische beveiligingsupdates vanuit de cloud, en minder zorgen over dit soort situaties in de toekomst.

Dat is de Ratho-aanpak in een notendop: eerst het directe gevaar wegnemen, dan samen nadenken over de structurele oplossing. Mens, Proces, Techniek.

De drie lagen van dit probleem

Bij Ratho bekijken we IT-problemen altijd vanuit drie invalshoeken: Mens, Proces en Techniek. Deze kwetsbaarheid raakt alle drie.

Mens

De aanval begint met een geldig gebruikersaccount. Dat account wordt doorgaans verkregen via phishing, een nep-e-mail die een medewerker verleidt zijn wachtwoord in te vullen. Bewustwording bij je medewerkers is dus de eerste verdedigingslinie. Weten ze hoe ze een verdachte e-mail herkennen? Is er een procedure voor als iemand denkt op een phishinglink te hebben geklikt? Als dat er niet is, is een beveiligingspatch maar half het werk.

Proces

Hoe snel worden beveiligingsupdates bij jullie uitgerold? Wie is daarvoor verantwoordelijk? Bij veel MKB-bedrijven ontbreekt een duidelijk patchbeleid. Updates worden uitgesteld vanwege drukte, fear of downtime of simpelweg gebrek aan overzicht over welke systemen er draaien. Dat uitstelgedrag is precies het aanvalsvenster waar aanvallers gebruik van maken. Een helder proces, met vaste verantwoordelijkheden en een maximale responstijd voor kritieke patches, is geen luxe. Het is basisbeveiliging.

Techniek

Op technisch vlak zijn er twee directe acties. Ten eerste: installeer de beveiligingspatch van Microsoft voor Exchange Server. Ten tweede: draai het detectiescript dat Microsoft beschikbaar heeft gesteld. Dit script controleert of er al sporen van misbruik zijn, en kan in sommige gevallen aangerichte schade herstellen. Op de langere termijn is het de moeite waard om een migratie naar Microsoft 365 te overwegen. In de cloud worden beveiligingsupdates automatisch en centraal uitgerold, zonder dat jij of je IT-beheerder er wakker van hoeft te liggen.

Wat zijn de gevolgen als je niets doet?

Laat ik dat concreet maken, want 'security risico' klinkt abstract totdat het je zelf overkomt.

Een aanvaller die via deze kwetsbaarheid toegang krijgt tot jouw Exchange Server kan klant- en bedrijfsdata stelen en doorverkopen of inzetten voor gerichte aanvallen. Hij kan je e-mailverkeer maandenlang stilletjes meelezen zonder dat je het merkt. Hij kan ransomware uitrollen die je hele organisatie platlegt. En als er persoonsgegevens buit worden gemaakt, ben je verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. Een datalek brengt niet alleen operationele schade, maar ook reputatieschade richting klanten en partners.

De kosten van herstel na een succesvolle aanval liggen gemiddeld vele malen hoger dan de kosten van preventie. Dat is geen marketingpraatje. Dat is wat ik zie bij bedrijven die te laat waren.

Wat kun je nu direct doen?

Hier is een overzicht van de acties, geordend op prioriteit.

Rood, direct: installeer de beveiligingspatch van Microsoft voor Exchange Server. Draai het Microsoft detectiescript om te controleren of er al misbruik heeft plaatsgevonden. Deze twee acties dulden geen uitstel.

Oranje, snel: controleer de gebruikersaccounts op verdachte activiteiten, zoals logins op vreemde tijdstippen of vanuit onbekende locaties. Schakel tijdelijk extra logging in zodat je eventuele afwijkingen kunt traceren.

Geel, korte termijn: beoordeel of een migratie naar Microsoft 365 de juiste stap is voor jouw organisatie. Voor de meeste MKB-bedrijven is het antwoord ja, maar dat is een gesprek dat ik graag persoonlijk met je voer.

Weet je niet zeker of jouw Exchange Server kwetsbaar is, of heb je geen eigen IT-beheerder die dit kan oppakken? Bel ons. We kijken het samen na. Geen verkoopgesprek, gewoon een check.

Veelgestelde vragen

Hoe weet ik of mijn bedrijf een on-premise Exchange Server gebruikt?

Als je e-mail via Microsoft Outlook werkt, maar je geen Microsoft 365-licentie herkent in je abonnementen, is de kans groot dat je op een eigen server draait. Twijfel je? Vraag het aan je IT-beheerder of contacteer ons voor een snelle check. We kunnen dit binnen een kwartier vaststellen.

Geldt deze kwetsbaarheid ook voor Microsoft 365?

Nee. Deze kwetsbaarheid treft alleen on-premise Microsoft Exchange Server installaties. Als je volledig op Microsoft 365 in de cloud werkt, hoef je voor dit specifieke probleem niets te doen. Microsoft patcht de cloudomgeving zelf en automatisch.

Wat doet het Microsoft detectiescript precies?

Het script dat Microsoft beschikbaar heeft gesteld doet drie dingen: het controleert of jouw Exchange Server kwetsbaar is voor de specifieke aanvalsvector, het zoekt naar aanwijzingen dat de kwetsbaarheid al is misbruikt, en het probeert waar mogelijk aangerichte schade terug te draaien. Het script is bedoeld voor IT-beheerders met kennis van Exchange. Heb je geen interne IT, dan is het verstandig dit door een professional te laten uitvoeren.

Is een migratie naar Microsoft 365 echt de oplossing, of is dat een verkooppraatje?

Het is een eerlijke vraag. Voor sommige organisaties, zoals bedrijven met specifieke compliancevereisten of hooggevoelige data die liever on-premises bewaren, kan een eigen server de juiste keuze blijven. Maar voor de meeste MKB-bedrijven biedt Microsoft 365 een betere prijs-kwaliteitverhouding op het gebied van beveiliging: automatische patches, ingebouwde anti-phishing, multi-factor authenticatie en veel minder beheerslast. Of het de juiste keuze is voor jou, hangt af van jouw specifieke situatie. Dat gesprek voeren we graag zonder verplichtingen.