Mit dem Patchday im Juni 2026 hat Microsoft neue Sicherheitsupdates für Exchange Server veröffentlicht. Betroffen sind Exchange Server 2016, Exchange Server 2019 sowie Exchange Server Subscription Edition (SE).
Auch wenn das Update auf den ersten Blick überschaubar erscheint, sollten Administratoren die Installation zeitnah einplanen. Neben Sicherheitskorrekturen enthält das Update eine wichtige Anpassung im Zusammenhang mit den Exchange Emergency Mitigation Services (EMS), die für den automatischen Schutz vor zukünftigen Bedrohungen relevant ist.
Die Veröffentlichung erfolgt in einer Phase erhöhter Aufmerksamkeit für Exchange-Umgebungen, nachdem in den vergangenen Wochen eine öffentlich bekannte Schwachstelle in Outlook Web Access (OWA) für Diskussionen innerhalb der IT-Sicherheitscommunity sorgte.
Was beinhaltet das Exchange Server Sicherheitsupdate Juni 2026?
Microsoft hat die Sicherheitsupdates für folgende Exchange-Versionen bereitgestellt:
- Exchange Server Subscription Edition (SE)
- Exchange Server 2019
- Exchange Server 2016
Laut Microsoft behebt das Update Sicherheitslücken innerhalb der Exchange-Plattform und enthält zusätzlich eine Anpassung zur weiteren Funktionsfähigkeit der Exchange Emergency Mitigation Services (EMS) und des Feature Flighting Service.
Administratoren sollten das Update unabhängig davon installieren, ob aktuell bekannte Angriffe auf die eigene Umgebung vorliegen.
Welche Schwachstelle steht aktuell besonders im Fokus?
Bereits im Mai 2026 hatte Microsoft die Sicherheitscommunity über die Schwachstelle CVE-2026-42897 informiert.
Die Sicherheitslücke betrifft Outlook Web Access (OWA) in lokalen Exchange-Installationen. Angreifer können speziell präparierte E-Mails verwenden, um unter bestimmten Bedingungen JavaScript-Code im Browser eines Benutzers auszuführen. Betroffen sind ausschließlich lokale Exchange-Server, nicht jedoch Exchange Online in Microsoft 365. (TECHCOMMUNITY.MICROSOFT.COM)
Bereits vor Veröffentlichung der Juni-Updates wurde die Schwachstelle öffentlich diskutiert und es existierten temporäre Schutzmaßnahmen über die Exchange Emergency Mitigation Services (EEMS). Mit den aktuellen Sicherheitsupdates steht nun die empfohlene dauerhafte Absicherung zur Verfügung.
Warum die EMS-Anpassung wichtig ist
Ein zentraler Bestandteil der Juni-Updates ist eine technische Anpassung für den Exchange Emergency Mitigation Service.
Microsoft hat darauf hingewiesen, dass ältere Installationen künftig Probleme bei der Verarbeitung neuer Notfallmaßnahmen erhalten können. Ohne die aktuellen Updates könnten nach Juni 2026 veröffentlichte Mitigations unter Umständen nicht mehr automatisch angewendet werden. (Microsoft Support)
Für Unternehmen bedeutet dies:
- Sicherheitsmaßnahmen könnten verzögert greifen
- Automatische Schutzmechanismen verlieren an Wirksamkeit
- Die Reaktionsfähigkeit bei Zero-Day-Schwachstellen sinkt
Gerade nach den Erfahrungen der letzten Jahre mit ProxyShell, ProxyNotShell und weiteren Exchange-Sicherheitsvorfällen sollte dieser Aspekt nicht unterschätzt werden.
Was sollten Exchange-Administratoren jetzt tun?
1. Sicherheitsupdate zeitnah installieren
Microsoft empfiehlt die Installation der Juni-2026-Sicherheitsupdates für alle unterstützten Exchange-Versionen.
Vor der Installation sollten:
- Aktuelle Backups geprüft werden
- Exchange Health Checks durchgeführt werden
- Replikations- und DAG-Status kontrolliert werden
2. Exchange-Version und Buildstand überprüfen
Viele Umgebungen verwenden noch ältere Buildstände oder nicht unterstützte Konfigurationen.
Microsoft empfiehlt, ausschließlich unterstützte Exchange-Versionen und aktuelle Cumulative Updates zu betreiben. Nur so können Sicherheitsupdates vollständig installiert werden. (Microsoft Learn)
3. Exchange Emergency Mitigation Service aktivieren
Der Exchange Emergency Mitigation Service bietet einen zusätzlichen Schutzmechanismus gegen neu entdeckte Angriffe.
Organisationen sollten prüfen:
- Ist EEMS aktiviert?
- Funktioniert die Kommunikation mit Microsoft?
- Werden Mitigations erfolgreich verarbeitet?
4. Langfristige Exchange-Strategie bewerten
Für viele Unternehmen wird 2026 ein strategisch wichtiges Jahr.
Microsoft treibt die Weiterentwicklung der Exchange Server Subscription Edition (SE) voran und empfiehlt den Umstieg auf unterstützte Plattformen, um weiterhin Sicherheitsupdates und Support zu erhalten. (Microsoft Learn)
Welche Entwicklungen sollten Unternehmen zusätzlich beobachten?
Neben den aktuellen Sicherheitsupdates gibt es weitere Themen, die Exchange-Verantwortliche auf dem Radar haben sollten.
Exchange Web Services (EWS) wird in Exchange Online eingestellt
Microsoft hat konkrete Termine für die Abschaltung von Exchange Web Services in Exchange Online veröffentlicht.
Ab Oktober 2026 beginnt die schrittweise Deaktivierung, die vollständige Abschaltung erfolgt im April 2027. Unternehmen mit Eigenentwicklungen oder Drittanbieter-Lösungen sollten frühzeitig prüfen, ob noch Abhängigkeiten zu EWS bestehen und gegebenenfalls auf Microsoft Graph migrieren.
Fokus auf lokale Exchange-Sicherheit steigt weiter
Sicherheitsbehörden und Microsoft empfehlen weiterhin:
- Multi-Faktor-Authentifizierung
- Minimierung privilegierter Konten
- Regelmäßige Installation von Security Updates
- Einsatz von Zero-Trust-Prinzipien
- Nutzung aktueller Exchange-Versionen
Insbesondere lokale Exchange-Server bleiben ein bevorzugtes Ziel für Angreifer und sollten entsprechend abgesichert werden.
Fazit
Die Exchange Server Sicherheitsupdates vom Juni 2026 enthalten zwar keine umfangreichen Funktionsänderungen, sind jedoch für die Sicherheit und Zukunftsfähigkeit lokaler Exchange-Umgebungen relevant.
Neben der Behebung von Sicherheitslücken sorgt das Update dafür, dass die Exchange Emergency Mitigation Services weiterhin korrekt funktionieren. Unternehmen sollten die Installation daher kurzfristig einplanen und gleichzeitig ihre langfristige Exchange-Strategie überprüfen.
Die Kombination aus aktuellen Sicherheitsupdates, aktivem Mitigation Service und einer unterstützten Exchange-Version bleibt die wichtigste Grundlage für einen sicheren Betrieb lokaler Exchange-Infrastrukturen.