Over 240 forældede mailservere står stadig åbne mod internettet hos danske myndigheder, teleudbydere, finanshuse og virksomheder i kritisk infrastruktur. Det viser en ny undersøgelse, som Version2 offentliggjorde den 17. september 2026 under overskriften “En stående invitation til cyberkriminelle”. Fundet kommer næsten et år efter, at Microsoft den 14. oktober 2025 endegyldigt lukkede for sikkerhedsopdateringer til Exchange Server 2016 og 2019, og det rejser et spørgsmål, som få danske it-afdelinger har et godt svar på: hvorfor står så mange servere stadig ubeskyttet, når risikoen har været kendt i over et år?
Sagen føjer sig til en international bølge af Exchange-relaterede sikkerhedshuller. Alene i 2026 har Microsoft udsendt nødpatches til flere kritiske sårbarheder i den samme serverfamilie, og globale scanninger fra Shadowserver Foundation viser titusindvis af upatchede installationer verden over. For danske virksomheder med forældede mailservere bliver tidsvinduet for at lukke hullet meget kort.
Hvad viser undersøgelsen af usikre mailservere i Danmark
Ifølge Version2’s gennemgang er der identificeret mere end 240 forældede mailservere, der fortsat er tilgængelige direkte fra internettet hos danske organisationer. Serverne findes bredt fordelt hos offentlige myndigheder, teleudbydere, finanshuse og selskaber, der driver kritisk infrastruktur. Fælles for dem er, at de kører versioner af Microsoft Exchange, som enten er forældede eller ikke længere modtager sikkerhedsopdateringer fra Microsoft.
Et af de konkrete eksempler, som undersøgelsen fremhæver, er teleselskabet Cibicom, der i over 100 år har formet dansk kommunikations- og it-infrastruktur. Her fandt undersøgelsen en Exchange-server med en sikkerhedsopdatering fra maj 2021, altså et sikkerhedsniveau, der på undersøgelsestidspunktet var mere end fem år gammelt. Det er et illustrativt eksempel på, hvor lang tid en kritisk infrastrukturvirksomhed kan lade en internetvendt mailserver stå uden opdateringer, uden at det bliver opdaget udefra, før nogen aktivt leder efter det.
Sikkerhedseksperter, som Version2 har talt med, beskrives som forundrede over tilgangen hos de ramte organisationer. Kritikken går især på, at mange af serverne tilhører aktører, som selv stiller høje krav til andres it-sikkerhed, herunder finansielle virksomheder og offentlige myndigheder med ansvar for borgernes data.
Derfor blev Exchange-serverne sårbare: Microsofts support-stop
Baggrunden for problemet er teknisk enkel. Microsoft stoppede den 14. oktober 2025 al support til Exchange Server 2016 og 2019, herunder sikkerhedsopdateringer, fejlrettelser og teknisk support. For Exchange Server 2019 sluttede den almindelige mainstream-support allerede den 9. januar 2024, mens den udvidede support løb frem til oktober 2025. Microsoft tilbød derefter et tidsbegrænset ESU-program (Extended Security Updates), der leverer sikkerhedsopdateringer alene, men kun for organisationer, der aktivt har tilmeldt sig ordningen.
Uden ESU-tilmelding, eller uden en opgradering til en understøttet version som Exchange Server Subscription Edition, står en server reelt uden nye sikkerhedsrettelser fra den dag, supporten udløber. Det er præcis den situation, de danske organisationer i undersøgelsen befinder sig i, næsten et år efter, at fristen udløb.
Forsvarets Efterretningstjeneste udsendte i starten af september 2026 en klar advarsel til danske myndigheder og virksomheder på baggrund af en konkret trussel. Budskabet var enkelt: skift jeres gamle Exchange-servere. Advarslen kom altså efter, at Microsoft for næsten et år siden havde indstillet den almindelige support, hvilket viser, at problemet ikke er nyt, men at det tilsyneladende først nu bliver taget alvorligt af flere danske organisationer.
Sårbarhederne der udnyttes lige nu i Exchange-servere
Truslen mod forældede Exchange-servere er ikke teoretisk. Gennem 2026 har flere alvorlige sårbarheder i Exchange Server fået aktiv udnyttelse i naturen. CVE-2026-42897 er en kritisk cross-site scripting-sårbarhed i Outlook Web Access, som Microsoft bekræftede aktivt udnyttet i maj 2026. Det amerikanske cybersikkerhedsagentur CISA tilføjede sårbarheden til sin liste over kendte udnyttede sårbarheder den 15. maj 2026 med en mitigeringsfrist til den 29. maj for føderale myndigheder.
CVE-2026-62911 er en autentificeringsomgåelse, der kan indgå i en kæde mod fjernkørsel af kode. Sårbarheden blev demonstreret som del af en kæde til 200.000 dollar under Pwn2Own 2026, og Microsoft patchede den i august 2026 som del af den månedlige Patch Tuesday. Alligevel talte Shadowserver Foundation stadig 21.899 unikke IP-adresser med sårbare Exchange-servere globalt den 31. august 2026, heraf omkring 6.200 i USA og omkring 5.100 i Tyskland. Kort efter fulgte CVE-2026-17747, en kritisk fjernkørsel-sårbarhed, som Microsoft lappede med en nødopdatering uden for den normale patch-cyklus, og som udløste en hasteordre fra CISA med krav om patching inden for 48 timer på grund af aktiv, om end begrænset, udnyttelse.
Fælles for sårbarhederne er, at de rammer hårdest på servere, der allerede er forældede eller dårligt vedligeholdte, fordi patch-vinduet for organisationer uden struktureret opdateringsproces er langt kortere end den tid, det typisk tager at opdage og lukke hullet.
Danmark i internationalt perspektiv: eksponering sammenlignet
Danmark er langt fra alene om problemet. Det tyske it-sikkerhedsagentur BSI advarede allerede den 31. oktober 2025 om, at 92 procent af omkring 33.000 tyske on-premises Exchange-servere stadig kørte Outlook Web Access 2019 eller ældre. Globalt viser Shodan-scanninger fra slutningen af august 2026, at omkring 500.000 Exchange-servere fortsat kan nås direkte fra internettet, hvoraf de fleste kører versioner inden for den sårbare periode for CVE-2026-62911.
Tabellen herunder sammenligner den kendte eksponering i Danmark med Tyskland og det globale niveau, baseret på de senest offentliggjorte tal fra henholdsvis Version2, BSI og Shadowserver Foundation.
| Land / niveau | Eksponerede/forældede Exchange-servere | Andel eller detalje | Kilde og dato |
|---|---|---|---|
| Danmark | 240+ | Myndigheder, teleudbydere, finanshuse, kritisk infrastruktur | Version2, 17. sep. 2026 |
| Tyskland | ~33.000 on-prem servere | 92% kører OWA 2019 eller ældre | BSI, 31. okt. 2025 |
| Globalt (sårbare over for CVE-2026-62911) | 21.899 unikke IP-adresser | Heraf ca. 6.200 i USA, ca. 5.100 i Tyskland | Shadowserver Foundation, 31. aug. 2026 |
| Globalt (alle internetvendte Exchange-servere) | ~500.000 | Direkte tilgængelige fra internettet | Shodan-telemetri, aug. 2026 |
Tallene er ikke direkte sammenlignelige, fordi de måler forskellige ting. Danmarks tal dækker specifikt forældede servere identificeret af én undersøgelse, mens de tyske og globale tal dækker bredere kategorier af eksponering. Alligevel tegner de samme mønster: et stort antal organisationer i Europa har endnu ikke fulgt op på et supportstop, der nu er næsten et år gammelt, og det gør Exchange til et af de mest attraktive mål for angribere, der leder efter lavthængende frugter.
Kritisk infrastruktur og finanssektoren i skudlinjen
Det, der adskiller den danske sag fra en almindelig it-driftshistorie, er sektorerne, der er ramt. Version2’s undersøgelse peger specifikt på myndigheder, teleudbydere, finanshuse og kritisk infrastruktur, altså organisationer, hvis drift har direkte betydning for samfundets funktion. En kompromitteret mailserver hos en teleudbyder eller et finanshus er ikke kun et spørgsmål om datatab. Den kan bruges som indgang til intern infrastruktur, til at aflytte korrespondance eller til at sende phishing-mails, der ser ud til at komme fra en legitim, betroet afsender.
For teleselskaber og finanshuse er risikoen forstærket af, at deres mailsystemer ofte er koblet til kundevendte processer, herunder fakturering, kundeservice og i nogle tilfælde autentificering. En kompromitteret Exchange-server kan derfor blive springbræt til langt mere alvorlige angreb end selve mailtyveriet, og det er netop den type kædeangreb, som sårbarheder som CVE-2026-62911 er designet til at udnytte.
Cibicom-eksemplet illustrerer et bredere mønster
At en virksomhed som Cibicom, der har over hundrede års historie i dansk infrastruktur, kunne have en Exchange-server uden sikkerhedsopdatering siden maj 2021, viser, at problemet ikke kun rammer små eller ressourcesvage organisationer. Selv veletablerede selskaber med dedikerede it-afdelinger kan miste overblikket over enkelte internetvendte systemer, særligt hvis migrering til nyere platforme aldrig bliver afsluttet, eller hvis en gammel server bliver glemt i forbindelse med en fusion eller omorganisering.
Lægemiddelstyrelsens tavshed rejser juridiske spørgsmål
Et af de mere opsigtsvækkende elementer i sagen er reaktionen fra Lægemiddelstyrelsen, der ifølge Version2 ikke ønsker at kommentere på fundene. Styrelsen henviser i stedet til, at det ikke er lovligt at scanne offentlige myndigheders it-infrastruktur uden skriftlig tilladelse. Svaret har vakt undren i den offentlige debat om artiklen, fordi det ikke forholder sig til selve sikkerhedsproblemet, men i stedet fokuserer på lovligheden af den metode, der afslørede det.
Reaktionen peger på et grundlæggende dilemma i dansk cybersikkerhed. Scanning af offentligt tilgængelige systemer uden forudgående tilladelse bevæger sig juridisk i en gråzone, selv når formålet er at afdække reelle sikkerhedshuller til gavn for samfundet. Det kan skabe et incitament for myndigheder til at fokusere på metodekritik frem for at adressere de underliggende sårbarheder, som i dette tilfælde har stået åbne i op mod fem år.
Historisk mønster: Rigsrevisionen advarede allerede
Sagen om de usikre mailservere er ikke den første advarsel om forældet it-infrastruktur i den danske stat. Rigsrevisionen har tidligere konkluderet i en kort rapport om it-sikkerheden på Statens It’s servere, at Statens It under Finansministeriet ikke havde sikret, at alle statslige servere kunne sikkerhedsopdateres. En del af forklaringen var, at man ikke havde opgraderet eller udfaset servere, der ikke længere kunne modtage sikkerhedsopdateringer, og at man manglede et fuldstændigt overblik over serverparken.
De danske statslige tekniske minimumskrav, som blev opdateret i september 2025, stiller i dag krav om, at mailkommunikation skal være krypteret og som minimum bruge TLS 1.2, samt at forced TLS skal konfigureres mellem statslige myndigheder. Kravene viser, at problemet med usikker mailkommunikation har været kendt og adresseret på papiret længe før den aktuelle sag, men undersøgelsen fra Version2 antyder, at kravene ikke altid følges op af faktisk implementering på de bagvedliggende servere.
NIS2 og GDPR lægger juridisk pres på virksomhederne
Sagen kommer på et tidspunkt, hvor det regulatoriske pres på danske virksomheder i kritisk infrastruktur er skærpet markant. NIS2-direktivet stiller nye krav til it-sikkerhedsstyring hos omkring 6.000 danske virksomheder, herunder krav om risikostyring, hændelsesrapportering og ledelsesansvar, med bødeniveauer der kan nå op til flere millioner euro ved grove overtrædelser. Samtidig fører Datatilsynet en løbende sagsliste over GDPR-håndhævelse, hvor Danmark ifølge en opdateret oversigt fra midten af september 2026 står noteret for 108 handlinger og bøder for i alt 4,1 millioner euro.
En forældet, internetvendt Exchange-server, der bliver kompromitteret og fører til et databrud, vil typisk udløse begge regelsæt samtidig. NIS2 kan medføre krav om dokumenteret risikostyring og rettidig hændelsesrapportering, mens GDPR kan udløse bøder, hvis bruddet involverer personoplysninger. For organisationer i finans- og telesektoren, som allerede er omfattet af sektorspecifik regulering, kan en kompromitteret mailserver derfor udløse en kaskade af juridiske og økonomiske konsekvenser, der rækker langt ud over selve sikkerhedshændelsen.
Markedseffekt: hvad koster det at lukke hullet
For de ramte organisationer er løsningen sjældent en simpel opdatering. En migrering væk fra en forældet Exchange-installation kræver typisk en fuld version-opgradering, ny hardware eller en flytning til cloud-baserede tjenester som Exchange Online. Det er, som en af debattørerne under Version2’s artikel formulerede det, et projekt med mange konsulenttimer. Reelle omkostninger afhænger af antallet af postkasser, integrationer til fagsystemer og hvor meget teknisk gæld der er samlet op undervejs.
Som alternativ til en ny Microsoft-licens peger flere i den tekniske debat på open source-mailservere som Stalwart og Open-Xchange, der begge kan sættes op med webmail, single sign-on og moderne sikkerhedsfunktioner uden at være låst til Microsofts supportcyklus. Fordelen er uafhængighed af et enkelt supportvindue, men skiftet kræver stadig migrering af postkasser, historik og integrationer, og det er ikke en opgave, der løses på en eftermiddag for en organisation med tusindvis af brugere.
Markedseffekten rækker ud over de enkelte virksomheder. Når kritisk infrastruktur og finanshuse er blandt de ramte, øger det presset på forsikringsselskaber, der udbyder cyberforsikringer, fordi forældede internetvendte systemer typisk vurderes som en skærpet risikofaktor ved tegning og fornyelse af policer. Det kan betyde dyrere forsikringspræmier for virksomheder, der ikke kan dokumentere en opdateret it-infrastruktur.
Sådan lukker virksomheder hullet teknisk
Det amerikanske cybersikkerhedsagentur CISA udsendte i slutningen af oktober 2025 sammen med NSA en fælles vejledning til hærdning af on-premises Exchange-servere. Anbefalingerne omfatter blandt andet at anvende Microsofts sikkerhedsbaselines for Exchange, begrænse administrativ adgang til Exchange Admin Center og remote PowerShell, håndhæve TLS og HSTS samt Extended Protection, og aktivere EDR- og AMSI-beskyttelse på serverne.
På transportlaget for selve mailtrafikken anbefales det generelt at håndhæve STARTTLS på SMTP-tjenester med gyldige certifikater og moderne cifre, at sigte efter minimum TLS 1.2 og gerne TLS 1.3 i tråd med de danske statslige minimumskrav, samt at lukke ukrypteret adgang via POP3 og IMAP til fordel for de krypterede varianter. Domæner, der understøtter det, kan desuden konfigurere MTA-STS til at gennemtvinge kryptering mod eksterne servere og DANE til at binde TLS-sikkerheden til DNSSEC.
; Eksempel på en MTA-STS DNS TXT-record
_mta-sts.eksempel.dk. IN TXT "v=STSv1; id=20260917000000Z"
; Eksempel på en policyfil hostet på mta-sts.eksempel.dk
version: STSv1
mode: enforce
mx: mail.eksempel.dk
max_age: 604800Det vigtigste første skridt er dog langt mere grundlæggende end kryptografi: et fuldstændigt overblik over, hvilke mailservere der overhovedet er eksponeret mod internettet. Flere af de anbefalinger, CISA og NSA peger på, starter netop med en inventarisering af alle Exchange-servere og en kontrol af, hvilket opdateringsniveau hver enkelt server befinder sig på.
Overblik over de mest kritiske Exchange-sårbarheder i 2026
For at forstå alvoren i de forældede servere er det nyttigt at se på, hvilke konkrete sårbarheder der er kommet i spil i 2026, og hvor hurtigt myndigheder som CISA har krævet handling.
| CVE | Type | Status | Myndighedskrav |
|---|---|---|---|
| CVE-2025-53786 | Rettighedseskalering, hybrid Exchange | Ingen observeret udnyttelse pr. aug. 2025 | CISA nøddirektiv ED 25-02, mitigering inden 11. aug. 2025 |
| CVE-2026-42897 | Cross-site scripting i Outlook Web Access | Aktivt udnyttet | Tilføjet CISA KEV 15. maj 2026, frist 29. maj 2026 |
| CVE-2026-62911 | Autentificeringsomgåelse / RCE-kæde | Offentlig proof-of-concept efter Pwn2Own 2026 | Patchet aug. 2026, 21.899 servere stadig sårbare pr. 31. aug. |
| CVE-2026-17747 | Kritisk fjernkørsel af kode | Aktiv, begrænset udnyttelse | CISA nøddirektiv 26-04, patch inden for 48 timer |
Mønsteret er tydeligt: jo længere en Exchange-server har stået uden opdateringer, desto flere af disse sårbarheder er den potentielt eksponeret for samtidig. En server, der ikke er blevet patchet siden maj 2021, som i Cibicom-eksemplet, vil i praksis være sårbar over for stort set alle sårbarheder, der er fundet i Exchange siden da, ikke kun de nyeste fra 2026.
Sammenligning: forældet on-premises Exchange versus cloud og open source
Den bagvedliggende markedsudvikling forklarer en del af problemet. Ifølge markedsanalyser fra Radicati Group udgjorde on-premises Exchange-postkasser 33 procent af alle Exchange-postkasser globalt i 2021, faldende til 16 procent i 2023 og videre ned til omkring 12 procent i 2024, mens resten er flyttet til cloud-varianten Exchange Online. De organisationer, der stadig kører on-premises, er blevet en stadigt mindre, men ikke nødvendigvis mindre kritisk, del af markedet. De udgør i stigende grad et efterslæb, som angribere aktivt leder efter, fordi mange af de resterende servere netop er dem, der er sværest at migrere væk fra.
Cloud-varianten Exchange Online fritager organisationer for selv at vedligeholde patches, men kræver til gengæld et løbende abonnement og accept af, at data ligger hos en amerikansk skyudbyder, hvilket for flere danske myndigheder og kritisk infrastruktur-selskaber rejser spørgsmål om digital suverænitet. Open source-alternativer som Stalwart og Open-Xchange løser patch-ansvaret ved, at organisationen selv står for driften, men uden Microsofts supportstruktur i ryggen, hvilket kræver et internt sikkerhedsberedskab, som ikke alle mindre organisationer råder over.
Forsvarets Efterretningstjenestes rolle og den nationale trusselsvurdering
At Forsvarets Efterretningstjeneste vælger at gå offentligt ud med en konkret advarsel om Exchange-servere, er i sig selv bemærkelsesværdigt. FE beskæftiger sig typisk med trusler fra statslige aktører og organiseret kriminalitet mod dansk infrastruktur, og en direkte opfordring til at skifte gamle servere ud signalerer, at efterretningstjenesten vurderer risikoen for udnyttelse som konkret og nært forestående, ikke blot teoretisk.
Timingen er værd at bemærke: advarslen kom i starten af september 2026, kort før Version2’s undersøgelse blev offentliggjort. Det tyder på, at de to spor hænger sammen. Enten har efterretningstjenesten haft kendskab til lignende fund internt, eller også har den stigende mængde offentlig rapportering om sårbare Exchange-servere globalt fået FE til at prioritere en direkte advarsel til danske organisationer, før situationen udvikler sig til et konkret angreb mod kritisk infrastruktur.
Fem forudsigelser for de kommende måneder
- Flere danske myndigheder og selskaber vil offentliggøre migreringsplaner væk fra on-premises Exchange i løbet af efteråret 2026, drevet af kombinationen af FE’s advarsel og NIS2-kravene om dokumenteret risikostyring.
- Antallet af CVE’er med aktiv udnyttelse mod Exchange vil fortsætte med at stige resten af 2026, i takt med at ESU-programmet for Exchange 2016 og 2019 nærmer sig sin afslutning i april 2026, hvilket fjerner selv den sidste sikkerhedsopdatering for mange organisationer.
- Datatilsynet vil sandsynligvis modtage en eller flere anmeldelser om databrud relateret til kompromitterede mailservere i finans- eller telesektoren i løbet af det kommende år, givet den dokumenterede eksponering.
- Open source-mailservere som Stalwart vil vinde mere fodfæste i danske offentlige udbud, efterhånden som digital suverænitet vægtes højere i beslutninger om it-infrastruktur.
- Flere danske organisationer vil blive genstand for eksterne sikkerhedsscanninger fra journalister og forskere, hvilket vil skærpe debatten om, hvornår sådanne scanninger er lovlige, og hvornår de tjener en berettiget offentlig interesse.
Hvad virksomheder og myndigheder bør gøre nu
Det mest presserende råd til danske organisationer med on-premises Exchange er at skabe et fuldstændigt overblik over, hvilke servere der er direkte tilgængelige fra internettet, og hvilken patch-status hver enkelt har. Dernæst bør ESU-tilmelding eller en fuld migrering til en understøttet platform prioriteres højt, i betragtning af at det midlertidige sikkerhedsprogram udløber i foråret 2026.
For organisationer i kritisk infrastruktur, finans og telekommunikation bør sagen desuden være en anledning til at gennemgå, om mailinfrastrukturen lever op til de tekniske minimumskrav, staten selv har fastsat, herunder krav om krypteret kommunikation og som minimum TLS 1.2. En forældet mailserver er ikke længere kun et internt driftsproblem. Den er en synlig, dokumenteret risiko, som kan udløse både sikkerhedshændelser og regulatoriske konsekvenser samtidig.
Ofte stillede spørgsmål om usikre mailservere i Danmark
Hvor mange usikre mailservere er der fundet i Danmark?
Version2’s undersøgelse, offentliggjort den 17. september 2026, fandt over 240 forældede mailservere, der fortsat er åbne mod internettet hos danske myndigheder, teleudbydere, finanshuse og kritisk infrastruktur.
Hvorfor er Exchange-servere pludselig blevet et problem i 2026?
Microsoft stoppede al support, inklusive sikkerhedsopdateringer, til Exchange Server 2016 og 2019 den 14. oktober 2025. Organisationer, der ikke opgraderede eller tilmeldte sig det midlertidige ESU-program, står derfor uden nye sikkerhedsrettelser.
Hvilke danske virksomheder er nævnt i sagen?
Version2 fremhæver teleselskabet Cibicom som eksempel, hvor en Exchange-server ifølge undersøgelsen sidst blev sikkerhedsopdateret i maj 2021. Herudover peger undersøgelsen bredt på myndigheder, teleudbydere og finanshuse uden at navngive alle ramte organisationer.
Hvad sagde Lægemiddelstyrelsen til fundene?
Lægemiddelstyrelsen ønskede ifølge Version2 ikke at kommentere på fundene og henviste i stedet til, at det ikke er lovligt at scanne offentlige myndigheders it-infrastruktur uden skriftlig tilladelse.
Hvilke konkrete sårbarheder gør forældede Exchange-servere farlige?
I 2026 har blandt andet CVE-2026-42897, CVE-2026-62911 og CVE-2026-17747 fået aktiv udnyttelse eller offentligt tilgængelig exploit-kode. Alle tre rammer primært servere, der ikke er løbende opdaterede.
Hvad kan virksomheder gøre for at lukke sikkerhedshullet?
Anbefalingerne fra CISA og NSA omfatter inventarisering af alle Exchange-servere, opgradering til understøttede versioner eller migrering til cloud, håndhævelse af TLS og STARTTLS, begrænsning af administrativ adgang samt aktivering af EDR- og AMSI-beskyttelse.
Findes der alternativer til Microsoft Exchange?
Ja. Open source-mailservere som Stalwart og Open-Xchange nævnes som alternativer, der kan tilbyde webmail og single sign-on uden at være bundet til Microsofts supportcyklus, men de kræver stadig et internt sikkerhedsberedskab.
Hvordan hænger sagen sammen med NIS2 og GDPR?
NIS2-direktivet stiller krav om risikostyring og hændelsesrapportering til omkring 6.000 danske virksomheder, mens GDPR kan udløse bøder ved databrud, der involverer personoplysninger. Et brud via en kompromitteret mailserver kan derfor udløse begge regelsæt samtidig.
