重要提醒｜微软发布10月Exchange Server安全更新，ESU v2本月底终止

本次10月SU共修复6个CVE漏洞，涵盖远程代码执行、权限提升、欺骗等类型，其中最高CVSS基础评分达9.3，属于严重级别。微软内部安全流程发现并修复了这些问题，目前公告未提及存在野外主动利用，但建议尽快部署。

受影响版本及对应补丁包：

• Exchange Server SE RTM：KB5128895（SU11）
• Exchange Server 2019 CU15：KB5128896（需ESU v2授权）
• Exchange Server 2019 CU14：KB5128897（需ESU v2授权）
• Exchange Server 2016 CU23：KB5128898（需ESU v2授权）

Exchange 2016和2019已结束主流支持。仅注册ESU v2（第二阶段扩展安全更新）的客户，可下载本次SU更新；未购买ESU v2授权的环境无法获取补丁包。ESU v2的覆盖范围持续至2026年10月底。

下载地址：https://www.microsoft.com/en-us/download/details.aspx?id=108875

提示：Exchange安全更新是累积性的。如果当前运行的是受支持的CU版本，可以直接安装最新的10月SU，无需按顺序补装之前遗漏的补丁。

本次更新同时修复了此前版本遗留的两处已知问题，提升Exchange服务稳定性。

这是本次公告最重要的生命周期提醒。

ESU v2项目到期后，微软后续仅为Exchange Server SE持续提供安全更新。即便企业当前已注册ESU v2，10月底之后，微软将不再提供Exchange 2016和2019的任何安全补丁。

后续微软也不再针对Exchange 2016和2019开展漏洞测试，MSRC漏洞公告不再纳入这两个版本。

需要注意的是：不再发布补丁，不等于Exchange 2016和2019不存在安全风险。 由于Exchange SE与Exchange 2019 CU15在技术上非常接近，未来很多新漏洞很可能同样影响旧版本，但旧版本不会再获得修复。

微软官方建议：仍在使用Exchange 2016和2019本地版的企业，想要持续获取安全更新，唯一途径是升级至Exchange Server SE。Exchange 2019 CU15可直接就地升级至SE；Exchange 2016则需要进行经典迁移。

安装本次SU不会自动移除今年5月针对CVE-2026-42897部署的缓解策略。CVE-2026-42897是一个影响Outlook Web Access（OWA）的跨站脚本漏洞，CVSS评分8.1，攻击者可通过特制邮件在用户打开邮件时执行JavaScript。

管理员需要手动执行回滚操作：

• EM（Exchange紧急缓解服务）自动添加的规则：需手动阻止EM服务，删除对应的IIS规则，本次对应的缓解ID为M2.1.0
• EOMT（Exchange本地缓解工具）手动部署的缓解：下载最新版EOMT工具执行回滚

部署SU之后，推荐运行微软官方Exchange Health Checker脚本，对Exchange服务器做全面健康检查。

当前脚本新增检测能力，可识别Exchange Domain Servers和Exchange Enterprise Servers这类自Exchange 2007起就已废弃的旧安全组。脚本一旦检出这类残留安全组，建议管理员及时清理，减少不必要的攻击面。

脚本地址：https://microsoft.github.io/CSS-Exchange/Diagnostics/HealthChecker/

自2026年7月起，如果服务器没有安装最新SU，后续微软发布的Exchange紧急缓解（EM）将无法正常应用。本次10月SU是未来接收应急安全缓解措施的基础前提。

1. 所有本地Exchange环境，先在测试环境完成补丁验证，评估业务兼容性，再上线生产服务器；
2. 尽快盘点当前Exchange版本及ESU授权状态，提前规划长期的邮件基础设施升级方案；
3. 补丁部署完成后，务必运行Health Checker脚本，完成环境健康校验；
4. 持续关注Exchange生命周期公告，提前评估旧版服务器停用或升级的时间窗口。