Exchange Security Update Juni 2026: Patchen allein reicht nicht

Am 9. Juni 2026 brachte Microsoft das Security Update für den Exchange Server heraus, das in vielerlei Hinsicht bedeutend ist. Es schließt mehrere Sicherheitslücken gleichzeitig, integriert eine wichtige Mitigation aus dem Mai in den regulären Patch-Stand.

Welche Exchange-Versionen bekommen das Update?

Das Security Update 7 (SU7) erscheint für Exchange Server SE, die aktuell unterstützte On-Premises-Version.

Exchange Server 2019 und 2016 erhalten ebenfalls ein Update, allerdings nur über das kostenpflichtige Extended Security Update (ESU)-Programm. Wer noch eine dieser älteren Versionen nutzt und kein ESU-Abonnement hat, geht leer aus.

Acht Sicherheitslücken auf einmal

Das Juni-Update schließt insgesamt acht dokumentierte Sicherheitslücken, was eine beeindruckende Bandbreite darstellt. Eine dieser Schwachstellen betrifft Cross-Site-Scripting (XSS) in der Outlook Web App (OWA). Das bedeutet, dass ein Angreifer unter bestimmten Bedingungen JavaScript-Code im Browser eines anderen Nutzers ausführen könnte. Obwohl das abstrakt klingt, stellt es in der Praxis eine ernsthafte Gefahr dar, da OWA für viele Nutzer der tägliche Zugang zu ihren Postfächern ist.

Das Update schließt Spoofing-Schwachstellen, die es ermöglichen, sich als andere Benutzer auszugeben, sowie Information-Disclosure-Lücken, durch die sensible Daten unbefugt abgeflossen sein könnten. Es behebt außerdem Elevation-of-Privilege-Schwachstellen, bei denen Angreifer höhere Rechte erlangen können, sowie eine Remote-Code-Execution-Lücke, die die Ausführung von Code aus der Ferne erlaubt. Diese letzte Schwachstelle ist besonders kritisch und verdient besondere Beachtung.

Die Mitigation aus dem Mai: Was steckt dahinter?

Schon im Mai reagierte Microsoft auf eine der Schwachstellen, noch bevor ein vollständiges Sicherheitsupdate erschien. Dieser Schutzmechanismus heißt Exchange Emergency Mitigation Service (EEMS). Es handelt sich um einen Dienst, der direkt in Exchange integriert ist und automatisch Schutzmaßnahmen aus der Cloud lädt und aktiviert, noch bevor ein offizieller Patch veröffentlicht wird.

Im Mai wurde über EEMS eine sogenannte IIS-URL-Rewrite-Rule aktiviert, eine Regel, die bestimmte Anfragen auf Serverebene umschreibt oder blockiert, um die Schwachstelle vorübergehend zu schützen. Das Juni-SU enthält nun die eigentliche Lösung für diese Sicherheitslücke. Dennoch bleibt die Mitigation aktiviert und wird von Microsoft als zusätzliche Schutzmaßnahme empfohlen.

Wenn du sie entfernen möchtest, musst du eine bestimmte Reihenfolge einhalten. Zuerst blockierst du die automatische Wiederanwendung durch EEMS, danach entfernst du die IIS-Regel manuell. Wenn du es anders machst, aktiviert EEMS die Regel nach kurzer Zeit automatisch wieder.

Was du jetzt tun solltest

Das Update zeitnah installieren ist der erste und wichtigste Schritt. Security Updates für Exchange erscheinen in der Regel am zweiten Dienstag des Monats, dem sogenannten Patch Tuesday. Dieses hier hat exakt diesen Termin getroffen.

Wenn du Exchange 2016 oder 2019 betreibst, ist jetzt ein guter Moment, den ESU-Status zu prüfen. Ohne ESU-Zugang gibt es kein Security Update, und das ist eine Situation, die du nicht auf Dauer akzeptieren solltest.

Und falls du die Mitigation aus dem Mai entfernen möchtest oder musst, halte dich an die offizielle Dokumentation und die korrekte Reihenfolge. Die Details dazu bespreche ich auch in der Episode.

Links

• Exchange Emergency Mitigation Service
• Exchange On-Premises Mitigation Tool (EOMT)
• Exchange Server Diagnostic Data

Fazit

Das Juni-Security-Update ist kein Update, das man auf die lange Bank schieben sollte. Es behebt acht Schwachstellen in einem Patch, darunter eine Remote-Code-Execution. Die Kombination aus EEMS-Mitigation und regulärem Patch zeigt uns aber auch, dass da noch etwas schlummert.

Weitere Inhalte rund um Exchange gibt es wie immer auf exchangeforitpros.blog.

Hast du Fragen zur Episode oder eigene Erfahrungen mit dem Update? Schreib’s in die Kommentare!