Microsoft heeft op 11 augustus 2026 beveiligingsupdates (SU) voor Exchange Server uitgebracht. De updates zijn beschikbaar voor Exchange Server Subscription Edition (SE), Exchange Server 2019 en Exchange Server 2016 en adresseren kwetsbaarheden die verantwoord zijn gerapporteerd door beveiligingspartners en gevonden via interne processen van Microsoft.
Beschikbare updates
De beveiligingsupdates zijn beschikbaar voor de volgende versies:
- Exchange SE RTM
- Exchange Server 2019 CU14 en CU15
- Exchange Server 2016 CU23
Exchange Server 2019 en 2016 updates zijn uitsluitend beschikbaar voor organisaties die zijn ingeschreven in het Period 2 Extended Security Update (ESU) programma, dat geldig is tussen mei en oktober 2026. Exchange Online-klanten zijn al beschermd tegen de kwetsbaarheden en hoeven geen actie te ondernemen, behalve het bijwerken van eventuele Exchange-servers of Exchange Management Tools-werkstations in hun omgeving.
OWA Light permanent uitgeschakeld
Een belangrijk wijziging in deze update is dat OWA Light (Outlook Web Access Light) permanent wordt uitgeschakeld wanneer de augustusupdate of latere updates op een Exchange-server worden geïnstalleerd. Dit is gerelateerd aan CVE-2026-62914. Klanten die de augustusupdate (of later) niet kunnen installeren, kunnen OWA Light handmatig uitschakelen op hun servers om deze specifieke kwetsbaarheid aan te pakken.
Bekende problemen
De release bevat enkele bekende problemen:
- Wrapper-berichten verschijnen in het postvak IN van gedeelde postvakken in hybride omgevingen (zal in een toekomstige update worden opgelost)
- MRS-migratie kan mislukken met TooManyTransientFailureRetriesPermanentException-fout als de backend-mailboxserver naar augustus 2026 SU is bijgewerkt, maar de frontend-server die de inbound MRS-verbinding proxyt een oudere versie heeft
- Gepubliceerde agenda (.ics) retourneert HTTP 500 voor agendatoepassingen
- Hybrid Free/Busy over MS Graph verliest de aanvrager-tijdzone
Installatie en voorbereiding
Microsoft adviseert beheerders de volgende stappen te volgen:
- Inventariseer Exchange-servers met het Exchange Server Health Checker-script om te bepalen welke updates nodig zijn
- Installeer de nieuwste Cumulative Update (CU) met behulp van de Exchange Update Wizard
- Voer de Health Checker opnieuw uit na installatie
- Start de server opnieuw op en controleer of alle Exchange-services correct zijn gestart
Beveiligingsupdates zijn cumulatief: organisaties hoeven niet alle eerdere SU's of HU's in volgorde te installeren, maar kunnen rechtstreeks de nieuwste SU installeren zolang ze een ondersteunde CU uitvoeren.
Wat dit betekent voor beheer
Beheerders moeten de augustusupdate installeren op alle Exchange-servers en alle werkstations waarop Exchange Management Tools draait, ook als deze alleen voor beheerdoeleinden worden gebruikt. Dit zorgt voor compatibiliteit tussen beheerclienttools en servers. Voor hybride omgevingen geldt dat Exchange Online al beschermd is, maar de SU moet wel op on-premises servers worden geïnstalleerd. Na installatie van een SU moet de Hybrid Configuration Wizard opnieuw worden uitgevoerd als het verificatiecertificaat wordt gewijzigd.
Organisaties die Exchange Server 2016 of 2019 uitvoeren zonder Period 2 ESU-inschrijving kunnen geen updates meer ontvangen en wordt aanbevolen zo snel mogelijk naar Exchange Server SE te migreren.
