Microsoft hat am 2. Oktober 2026 die V2-Fassung der Exchange-Sicherheitsupdates veröffentlicht. Neu ist der Fix für CVE-2026-96940, eine Rechteausweitung, die es einem angemeldeten Angreifer ermöglicht, auf fremde Postfächer derselben Organisation zuzugreifen und Mails samt Anhängen zu lesen. Borncity meldete die Entwicklung am selben Tag; der-windows-papst.de ordnet ein, warum das Update zunächst ohne jede Ankündigung im WSUS auftauchte.

Für einen Betrieb mit eigenem Exchange-Server heißt das konkret: Ein einzelnes per Phishing übernommenes Konto genügt als Ausgangspunkt. Der Angreifer muss kein Admin sein, kein Exploit-Kit mitbringen – ein normales Benutzerkonto reicht, um sich in die Postfächer von Geschäftsführung, Buchhaltung oder Personalabteilung einzulesen. Betroffen sind ausschließlich lokale Exchange-Installationen; Exchange Online hat Microsoft bereits serverseitig korrigiert, reine Cloud-Mandanten müssen nichts tun. In Hybrid-Umgebungen gilt: Auch der lokale Verwaltungsserver muss gepatcht werden, selbst wenn er nur noch die Verwaltung abwickelt.

Technisch im Detail

CVE-2026-96940 beschreibt eine unzureichende Autorisierungsprüfung in Exchange Server. Der CVSS 3.1 Base Score liegt bei 8.8, der Vektor lautet AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Microsoft stuft die Ausnutzung als „More Likely" ein, ein öffentlicher Exploit ist nicht bekannt, und die Lücke steht nicht im CISA-KEV-Katalog. Über Mandantengrenzen hinweg funktioniert der Zugriff laut Microsoft nicht. Die Schwachstelle wurde am 2. Oktober 2026 offengelegt.

Die V2-Pakete und zugehörigen Buildnummern lauten: Exchange Server SE RTM als KB5129955 mit Build 15.02.2562.053, Exchange 2019 CU15 als KB5129956 mit Build 15.02.1748.053, Exchange 2019 CU14 als KB5129957 mit Build 15.02.1544.048 sowie Exchange 2016 CU23 als KB5129958 mit Build 15.01.2507.075. s-edv.com listet die Builds im Detail. Exchange 2016 und 2019 sind aus dem Support; die Updates gibt es nur im kostenpflichtigen ESU-Programm, das bis Ende Oktober 2026 abdeckt. Wer das September-Update vom 8. September 2026 bereits installiert hat, braucht trotzdem die V2-Fassung – der Fix für CVE-2026-96940 steckt ausschließlich in dieser zweiten Version. frankysweb.de weist darauf hin, dass die bekannten Probleme aus dem September-Update (veröffentlichte Kalender liefern HTTP 500, ContentEngine-Deadlock bei koreanischen Mails) weiterhin bestehen und erst durch ein späteres Update behoben werden sollen.

Was jetzt zu tun ist

1. Prüfen, welche Buildnummern tatsächlich installiert sind. Maßgeblich ist die Dateiversion von ExSetup.exe, nicht der AdminDisplayVersion-Wert. Das Exchange Server Health Checker-Skript von Microsoft findet Server mit Rückstand; alternativ liefert Get-Command ExSetup.exe in der Exchange Management Shell die vollständige Build-Nummer inklusive der letzten Stelle.
2. Die passende V2-Fassung aus dem Microsoft Update Catalog oder dem Download Center beziehen und aus einer erhöhten Eingabeaufforderung installieren – nicht per Doppelklick, sonst bricht das Setup unvollständig ab und lässt Dienste deaktiviert zurück. In einer DAG die Server nacheinander in den Wartungsmodus versetzen und aktualisieren.
3. Nach dem Neustart prüfen, ob alle Exchange-Dienste laufen. Stehen Dienste auf „Deaktiviert", wurde die Installation unterbrochen. Das Health Checker-Skript erneut ausführen und erst dann, wenn alle Server die gepatchte Buildnummer melden, das Thema als erledigt betrachten.

Das Ärgerliche daran: Das Update stand im WSUS, bevor Microsoft dazu eine Zeile dokumentiert hatte. Wer Exchange-Updates automatisch freigibt, hat KB5129955 womöglich schon installiert, ohne die bekannten Probleme zu kennen – und merkt es erst, wenn die veröffentlichten Kalender auf einmal HTTP 500 liefern. Wer jetzt unsicher ist, ob die eigenen Exchange-Server sauber gepatcht sind oder ob die Buildnummern stimmen, hat damit schon die richtige Frage gestellt. Wir schauen uns das gerne gemeinsam an – einmal durch die Serverinventur, die Health-Checker-Ergebnisse und die WSUS-Freigaben, damit Sie genau wissen, wo Sie stehen.

Beitragsbild: Brett Sayles auf Pexels