Exchange Server SE Updates

Als ich diese Seite schreibe, dauert es noch mindestens ein Jahr bis Server SE released wird. Dennoch gibt es es schon erste Informationen zu dem erste Updates nach dem Releasedatum. Die Zählung der Updates beginnt mit Exchange Server SE wieder bei "CU1" und ich bin mir gar nicht sicher wie weit Microsoft das zukünftig beibehalten wird, denn eine Versionsnummer ha Exchange dann nicht mehr. Exchange wird als Subscription ja kontinuierlich weiterentwickelt. Vielleicht bekommen wir dann bald ein "Exchange Server SE 25H2" und andere aufsteigende Bezeichnungen mit Jahreszahl und Halbjahr

CU2 (geplant)

Zuerst wollte Microsoft schon mit Exchange SE CU1 die Koexistenz mit Exchange 201/2019 abschalten. Dann hat man es sich noch mal anders überlegt und diese Blockade soll nun erst mit Exchange SE CU2 kommen.

Achtung:
CU2 kann nur installiert werden, wenn kein Exchange 2016/2019 Server mehr in der Umgebung ist. Bis dahin muss ihre OnPremises Migration abgeschlossen sein!

  • Removal of support for co-existence with earlier versions
    Diesen Punkt sollten Sie nicht überlesen, denn das bedeutet zum einen, dass alle Exchange 2019/2016-Server deinstalliert sein müssen und Sie das CU2 erst installieren können, wenn dies der Fall ist. Wenn im CU2 also kritische Updates enthalten sind, dann können Sie dies bis zum Abschluss einer Migration noch nicht installieren!
  • Weitere Updates kenne ich offiziell noch nicht

Allerdings hat Microsoft am 16. Juli noch einen Artikel veröffentlicht

Update: Gegen Bezahlung können sie für 6 Monate einen Extended Support kaufen
Announcing Exchange 2016 / 2019 Extended Security Update program
https://techcommunity.microsoft.com/blog/exchange/announcing-exchange-2016--2019-extended-security-update-program/4433495 

Es könnte sein, dass Microsoft nun auch das Release-Datum von CU2 auf das erweiterte Supportende von Exchange 2016/2019 verschiebt. Das ist aber nur eine Vermutung.

CU1 (geplant)

Zuerst wird es aber relativ kurz nach dem Release von Exchange Server SE ein erstes CU geben, welches weniger durch neue sondern eher durch Wegfall von Funktionen auch sich aufmerksam macht. Microsoft schreibt dazu schon im März 2024, also mehr als 18 Monate vor dem Release darüber (Quelle https://techcommunity.microsoft.com/t5/exchange-team-blog/exchange-server-roadmap-update/ba-p/4132742)

  • Kerberos for server-to-server communication
    Da gehe ich noch mit und es ist eher fraglich, warum das nicht schon immer der Fall war. Da Microsoft aber den Rückbau von NTLM angekündigt hat, ist der Schritt erwartet und dürfte auch keine Probleme verursachen. Maschinenanmeldung per Kerberos gibt es schon seit Windows 2000, also über 24 Jahre.
  • Adding support for an Admin API and deprecating RPS
    Das klingt interessant aber man wird abwarten, was davon ankommt. RPS ist das Protokoll zwischen Exchange Powershell und dem Exchange Server. ein Wechsel auf REST macht hier sinn aber ich bin gespant, ob es dann auch eine dokumentierte REST-API für administrative Funktionen gibt und nicht nur das interne Protokoll umgestellt wird.
  • Removing Outlook Anywhere
    Die Abschaltung von "/RPC" habe ich erwartet. MAPI/HTTP ist ja schon seit Outlook 2010 möglich und in Exchange Online seit 2017 abgeschaltet. Outlook 2007 und früher können sich dann notfalls nur noch per IMAP4 verbinden. Wer aber so alte Clients noch betreibt, sollte sich um eine Ablösung bemühen.
  • Removal of support for co-existence with earlier versions
    Diesen Punkt sollten Sie nicht überlesen, denn das bedeutet zum einen, dass alle Exchange 2019/2016-Server deinstalliert sein müssen und Sie das CU1 erst installieren können, wenn dies der Fall ist. Wenn im CU1 also kritische Updates enthalten sind, dann können Sie dies bis zum Abschluss einer Migration noch nicht installieren!
  • Updating the Visual C++ redistributable to the version that ships with Visual Studio 2022
    Das sehe ich unkritisch
  • Removal of support for UCMA 4.0 and the instant messaging feature in Outlook on the web
    Der Wegfall einer "Chatfunktion" in OWA mit Skype for Business dürfte auch nur wenige Firmen betreffen.

Dass so früh vor dem Release-Datum natürlich noch keine Informationen über "Sicherheitsupdates" genannt werden, ist verständlich.

Jan 2026 - Kein Update

Diesen Monat gibt es zwar Updates für das Windows Betriebssystem aber keine Updates für Exchange Server SE. Natürlich nutzt Microsoft einen kleinen Eintrag im Exchange Team Blog zur Warnung, dass Exchange 2019/2016 keinen Support und keine Updates mehr erhalten und man möglichst schnell auf Exchange Server SE migrieren sollte und zwischenzeitlich über das "Extended Security Update"-Programm zumindest Security Updates bekommen könnte.

Dez 2025 Security Update

Seit dem 9. Dez gibt es ein Security Updates für Exchange Server SE, 2019 und 2016. Da Exchange 2016 und 2019 aber "out of Support" sind, erhalten das Update für diese Versionen nur Kunden, die das Extended Security Update-Programm (ESU) bezahlten. Das bedeutet faktisch, dass alle Exchange 2016/2019 Server im Risiko sind, weil Angreifer anhand der Analyse des öffentlich verfügbaren Exchange Server SE Updates vielleicht den Angriffsvektor ermitteln können. Zwar werden beide Updates mit einem CVE-Level von 5,3 bzw. 7,5 bewertet und ein Angriff als "wenig wahrscheinlich" beschrieben, aber ich schätze das Risiko schon als gegeben ein. Beschleunigen Sie ihre Updates auf Exchange SE oder Exchange Online und entfernen Sie die alten Exchange Server

Download Security Update for Exchange Server SE RTM SU4 (KB5071876)
https://www.microsoft.com/en-us/download/details.aspx?id=108493 (157 MB)

Der offizielle Weg zu Updates für Exchange 2016/2019 geht über das ESU-Programm

Ich kann ihnen aus verständlichen Gründen diese Updates nicht zur Verfügung stellen.

Nov 2025 (keine Updates)

Im November 2025 wurden für Exchange SE keine Updates bereitgestellt.

Es gibt zwar keine offizielle Aussage aber es ist recht wahrscheinlich, dass damit auch keine bekannten Sicherheitslücken in Exchange 2016/2019 ungepatcht sind.

Okt 2025 (SE RTM SU3)

Am 14. Oktober hat Microsoft nicht nur die finalen öffentlichen Updates für Exchange 2016/2019 veröffentlicht, sondern auch Exchange SE mit den gleichen Fixes versorgt

Adressiert werden drei Sicherheitsrelevante Themen und eine Funktion wird entfernt.

Die Security Updates sind wichtig aber sie sehen auch, das der Angreifer entweder authentifiziert oder sich sogar auf dem Server anmelden muss. Ich möchte die Risiken nicht kleinreden, aber wer die Anmeldung auf Servern auf ausgewählte Administratoren beschränkt und den Zugriff über das Netzwerk über eine Preauthentication absichert, z.B. Reverse Proxy, dürfte weniger Sorgen haben. Solche allgemeine Schutzeinrichtungen werden vielleicht wichtig, wenn die nächsten SE-Updates ähnliche Lücken nahelegen.

Für die hier beschrieben Lücken hat Microsoft entsprechende Updates bereitgestellt, die Sie installieren sollten.

Security Update for Exchange Server SE RTM SU3 (KB5066366)
https://www.microsoft.com/en-us/download/details.aspx?id=108422

Sep 2025 (SE RTM HU2)

Am 8. September kam das nächste Update für die noch unterstützten Exchange Server Versionen. Es ist auch wirklich nur ein Hotfix, um ein Problem mit dem Online Archiv und OnPremises Usern korrigiert.

Downloads
ExSE RTM HU2 (KB5066373) https://www.microsoft.com/en-us/download/details.aspx?id=108370
Ex2019 CU14 HU7 (KB5066371) https://www.microsoft.com/en-us/download/details.aspx?id=108369
Ex2019 CU15 HU4 (KB5066372) https://www.microsoft.com/en-us/download/details.aspx?id=108368
Ex2016 CU23 HU18 (KB5066370) https://www.microsoft.com/en-us/download/details.aspx?id=108367

Aug 2025 HU (SE RTM SU1)

Am 12. August 2025 wurde geplant die nächsten Updates für Exchange 2016/2019/SE veröffentlicht worden. Es ist kein Feature-Update sondern folgende Lücken werden gesichert.

Download
Microsoft Exchange Server 2016 Cumulative Update 23 SU17 - https://www.microsoft.com/en-us/download/details.aspx?id=108333
Microsoft Exchange Server 2019 Cumulative Update 15 SU3 - https://www.microsoft.com/en-us/download/details.aspx?id=108334
Microsoft Exchange Server 2019 Cumulative Update 14 SU6 - https://www.microsoft.com/en-us/download/details.aspx?id=108336
Security Update for Exchange Server Subscription Edition SU1 - https://www.microsoft.com/en-us/download/details.aspx?id=108339

RTM (1. Juli 2025)

Die erste Version von Exchange Server SE ist im Grunde eine Exchange 2019 CU15-Version, bei der wohl primäre einige Namen in der Anzeige und natürlich die Lizenzbedingungen bei der Installation geändert werden. Microsoft macht da auch kein Geheimnis raus, so das im wesentlichen die auf Updates für Exchange 2019 gemachten Aussagen zum CU15 auch für Exchange Server SE zutreffen werden.

Weitere Links