Команда Exchange выпустила июльские обновления безопасности 2026 года для Exchange Server SE, 2019 и 2016 и опубликовала материал с перечнем охваченных продуктов.

Обновления доступны для Exchange SE RTM, Exchange Server 2019 CU14 и CU15, а также Exchange Server 2016 CU23. Для версий 2019 и 2016 организация должна участвовать в программе Period 2 ESU.

Установка обновления не удаляет ранее применённые меры смягчения CVE-2026-42897 автоматически. После установки нужно удалить правила IIS M2.1.0 или откатить mitigation через EOMT в зависимости от способа её применения.

Exchange Health Checker теперь выявляет устаревшие группы Exchange Domain Servers и Exchange Enterprise Servers, которые могут давать избыточные права и должны быть удалены. Интеграция Office Online Server с Exchange может работать некорректно, пока организация не обновит все серверы Exchange.

Проверка утверждений:

  • Команда Exchange опубликовала в Exchange Team Blog материал о выпуске июльских обновлений безопасности 2026 года для Exchange Server SE, 2019 и 2016; он даёт читателю перечень охваченных выпуском продуктов. (подтверждено первоисточником: доказательство; «Microsoft has released Security Updates (SUs) for vulnerabilities found in: - Exchange Server Subscription Edition (SE) - Exchange Server 2019 - Exchange Server 2016»)
  • Обновления доступны для Exchange SE RTM, Exchange Server 2019 CU14 и CU15, а также Exchange Server 2016 CU23; для версий 2019 и 2016 требуется участие организации в программе Period 2 ESU. (подтверждено первоисточником: доказательство; «SUs are available for the following specific versions of Exchange Server: - Exchange SE RTM - Exchange Server 2019 CU14 and CU15 (to access, organization must be enrolled into the Period 2 ESU program) - Exchange Server 2016 CU23 (to access, organization must be enrolled into the Period 2 ESU program)»)
  • Июльские обновления закрывают уязвимости, найденные партнёрами Microsoft по безопасности и внутренними процессами компании; пользователи Exchange Online уже защищены, но должны обновить имеющиеся в их среде серверы Exchange и рабочие станции с Exchange Management Tools. (подтверждено первоисточником: доказательство; «The July 2026 SUs address vulnerabilities responsibly reported to Microsoft by security partners and found through Microsoft’s internal processes. These vulnerabilities affect Exchange Server. Exchange Online customers are already protected from the vulnerabilities addressed by these SUs and do not need to take any action other than updating any Exchange servers or Exchange Management tools workstations in their environment.»)
  • Exchange Health Checker теперь выявляет устаревшие группы Exchange Domain Servers и Exchange Enterprise Servers; они не используются со времён Exchange 2007, могут давать избыточные права и должны быть удалены. (подтверждено первоисточником: доказательство; «While not directly related to our July 2026 SU release, we wanted to call out that Exchange Health Checker script will now also check for the presence of very old, deprecated Exchange Server security groups, namely Exchange Domain Servers and Exchange Enterprise Servers. Those groups have been deprecated since Exchange 2007, should not be in use, and should be deleted as they might provide more permissions than modern Exchange security groups.»)
  • Установка июльского обновления 2026 года не удаляет ранее применённые меры смягчения CVE-2026-42897 автоматически: после установки нужно убрать правила IIS M2.1.0 либо откатить mitigation через EOMT — в зависимости от способа её применения. (подтверждено первоисточником: доказательство; «Installing the July 2026 update does not automatically remove already applied CVE-2026-42897 mitigations. Therefore, once you install July SU, you should: If mitigation was applied using Exchange Emergency Mitigation (EM) Service: - Remove the mitigation M2.1.0 IIS rules. If mitigation was applied using the downloadable EOMT script https://aka.ms/UnifiedEOMT: - Roll back the mitigation.»)
  • Exchange Server 2016 и 2019 уже сняты с поддержки, а обновления безопасности для них, выпущенные с мая по октябрь 2026 года, получают только участники Period 2 ESU; остальным Microsoft рекомендует перейти на Exchange SE. (подтверждено первоисточником: доказательство; «Exchange Server 2016 and 2019 are out of support. Only customers who enrolled in the Period 2 Extended Security Update (ESU) program are eligible to receive Exchange Server 2016 and 2019 security updates released between May and October 2026. If you are not part of the Period 2 ESU program, migrate to Exchange Server Subscription Edition (SE) to keep receiving the latest security updates.»)
  • В качестве известной проблемы выпуска Microsoft указывает появление wrapper-сообщений во входящих общих почтовых ящиков в гибридных средах. (подтверждено первоисточником: доказательство; «- Wrapper messages appear in shared mailbox inbox in hybrid environments | Microsoft Support»)
  • Для установки Microsoft советует сначала определить требуемые обновления через Exchange Server Health Checker, установить последнюю CU с инструкциями Exchange Update Wizard, после обновления снова запустить Health Checker, перезагрузить сервер и проверить запуск всех служб Exchange. (подтверждено первоисточником: доказательство; «- Inventory your Exchange Servers to determine which updates are needed using the Exchange Server Health Checker script. Running this script will tell you if any of your Exchange Servers are behind on updates (CUs, SUs, or manual actions). - Install the latest CU. Use the Exchange Update Wizard to choose your current CU and your target CU to get directions. - Re-run the Health Checker after you install an update to see if any further actions are needed. - After setup is completed, please reboot the server and check that all Exchange services have started properly. If some services are in a disabled state, that indicates that something interrupted installation of the update. Please see the Workaround 1 in this article.»)
  • После установки июльского SU и удаления mitigation должны исчезнуть и известные проблемы, вызванные мерами смягчения CVE-2026-42897. (подтверждено первоисточником: доказательство; «Yes, when July 2026 SU is installed and mitigation is removed, mitigation known issues should be resolved too.»)
  • В смешанной конфигурации часть серверов может временно оставаться с mitigation, однако связанные с ней проблемы сохранятся, а интеграция Office Online Server с Exchange может работать некорректно, пока не обновлены все серверы Exchange организации. (подтверждено первоисточником: доказательство; «You can continue using mitigations on any servers that you cannot update to July 2026 SU (or newer). But note that known issues from mitigations will continue to apply to those servers. Additionally, after applying this update, Office Online Server (OOS) integration with Exchange Server might not function as expected until all Exchange servers in the organization have been updated.»)
  • Обновления безопасности Exchange являются накопительными: при поддерживаемой текущим SU версии CU промежуточные SUs и HUs не нужно устанавливать последовательно, достаточно последнего SU. (подтверждено первоисточником: доказательство; «SUs are cumulative. If you are running a CU supported by the SU, you do not need to install all SUs or HUs in sequential order; simply install the latest SU.»)
  • Microsoft рекомендует устанавливать SU на все серверы Exchange, а также на все серверы и рабочие станции с Exchange Management Tools, чтобы сохранить совместимость клиентов инструментов управления с серверами. (подтверждено первоисточником: доказательство; «Our recommendation is to install SUs on all Exchange Servers and all servers and workstations running the Exchange Management Tools to ensure compatibility between management tools clients and servers.»)

Первоисточники:

оценка 64.8 · тип release · ревизия 1 · истории st-liscd7