Exchange-Update ohne Ankündigung: Was hinter KB5129955 und CVE-2026-96940 steckt

Anfang Oktober tauchte in WSUS-Konsolen und in Windows Update plötzlich ein Exchange-Paket auf, zu dem es zunächst keinerlei Dokumentation gab. Inzwischen ist klar: Microsoft hat das September-Sicherheitsupdate für lokale Exchange-Server in einer zweiten Fassung nachgeschoben, um eine zusätzliche Rechteausweitungslücke zu schließen. Wer im September bereits gepatcht hat, ist damit nicht fertig – die V2 muss zusätzlich installiert werden. Wir rollen das Update derzeit bei unseren Kunden aus und fassen hier zusammen, worauf es ankommt.

Was passiert ist

Laut Microsoft wurde die Schwachstelle intern entdeckt, bevor sie öffentlich bekannt war. Statt bis zum nächsten regulären Termin zu warten, hat der Hersteller das September-Paket neu gebaut. Ungewöhnlich war vor allem die Reihenfolge: Die automatische Verteilung lief an, bevor die zugehörige Dokumentation online stand. Für Betriebsverantwortliche ist das ein Problem, denn ein undokumentiertes Paket auf einem produktiven Mailserver freizugeben, widerspricht jedem geordneten Change-Prozess.

Die Schwachstelle im Kern

Technisch geht es um eine fehlerhafte Rechtezuweisung innerhalb der Anwendungslogik von Exchange. Ein Angreifer mit einem normalen Benutzerkonto kann über das Netzwerk Aktionen ausführen, für die ihm eigentlich die Berechtigung fehlt. Nach Darstellung von Microsoft betrifft das vor allem den Zugriff auf fremde Postfächer innerhalb derselben Organisation; über Mandantengrenzen hinweg wirkt die Lücke nach bisherigem Stand nicht. Exchange Online hat Microsoft bereits serverseitig abgesichert, betroffen sind ausschließlich lokale Installationen.

Warum das trotz „nur authentifiziert“ ernst zu nehmen ist: Viele Angriffe beginnen heute mit einem einzelnen kompromittierten Konto, etwa nach einem erfolgreichen Phishing oder Password Spraying. Eine Lücke, die aus diesem einen Konto Lesezugriff auf die Postfächer der Geschäftsführung oder der Buchhaltung macht, verkürzt den Weg zum eigentlichen Schaden erheblich. Firewall und Perimeterschutz sehen davon nichts, weil der Zugriff über eine reguläre, angemeldete Sitzung läuft.

Betroffene Versionen und Ziel-Builds

Was Betreiber jetzt prüfen sollten

1. Build-Stand jedes Exchange-Servers ermitteln und mit der Tabelle oben vergleichen. Liegt die Versionsnummer darunter, fehlt die V2 – auch dann, wenn das September-Update bereits installiert ist.
2. Das Paket bevorzugt als EXE aus dem Download Center installieren, aus einer Eingabeaufforderung mit Administratorrechten und im Wartungsfenster. Die Verteilung über Windows Update hat bei Exchange in der Vergangenheit wiederholt Probleme verursacht. Wer WSUS nutzt, sollte das Paket gezielt freigeben statt automatisch.
3. Nach der Installation den Exchange Health Checker in der aktuellen Version laufen lassen. Ältere Fassungen des Skripts erkennen den neuen Build nicht und melden fälschlich einen unbekannten Stand.
4. Bekannte Nebenwirkungen gezielt testen: veröffentlichte Kalender im ICS-Format (Abruf kann mit HTTP 500 scheitern) und Frei/Gebucht-Abfragen für delegierte Postfächer in Hybrid-Umgebungen, die ausschließlich über die Graph API laufen.
5. In den IIS- und Exchange-Protokollen auffällige Zugriffe auf fremde Postfächer prüfen, insbesondere für Konten, die in den letzten Wochen durch Anmeldeauffälligkeiten aufgefallen sind.

$ErrorActionPreference = 'Stop'

$exSetup = Join-Path $env:ExchangeInstallPath 'Bin\ExSetup.exe'
if (-not (Test-Path $exSetup)) { throw "ExSetup.exe nicht gefunden: $exSetup" }

$build = [version](Get-Item $exSetup).VersionInfo.ProductVersion

$fixed = @{
    '15.2.2562' = [version]'15.2.2562.53'   # Exchange SE RTM   - KB5129955
    '15.2.1748' = [version]'15.2.1748.53'   # Exchange 2019 CU15 - KB5129956
    '15.2.1544' = [version]'15.2.1544.48'   # Exchange 2019 CU14 - KB5129957
    '15.1.2507' = [version]'15.1.2507.75'   # Exchange 2016 CU23 - KB5129958
}

$key = '{0}.{1}.{2}' -f $build.Major, $build.Minor, $build.Build

if (-not $fixed.ContainsKey($key)) {
    Write-Warning "$env:COMPUTERNAME : Build $build - kein Fix verfügbar, CU/Version veraltet"
} elseif ($build -ge $fixed[$key]) {
    Write-Host "$env:COMPUTERNAME : Build $build - CVE-2026-96940 geschlossen" -ForegroundColor Green
} else {
    Write-Warning "$env:COMPUTERNAME : Build $build - V2-Update fehlt (Ziel: $($fixed[$key]))"
}

Einordnung

Drei Punkte nehmen wir aus dieser Woche mit:

• Kein Paket ohne Dokumentation auf produktive Mailserver. Das Update war legitim, das ließ sich am 1. Oktober aber nicht belegen. Exchange-Updates gehören deshalb nicht in eine automatische WSUS-Freigabe, sondern in einen bewussten Schritt mit Prüfung von Quelle, Hash und Release Notes.
• „Gepatcht“ ist eine Momentaufnahme. Eine V2 desselben Monats-Updates zeigt, dass ein einmal grüner Status nicht reicht. Regelmäßige Build-Abgleiche gegen die offizielle Liste sind Teil des Betriebs, nicht nur des Patchtags.
• Das Ende von Exchange 2016/2019 ist jetzt erreicht. Mit dem Auslaufen des ESU-Programms im Oktober 2026 werden künftige Lücken auf diesen Versionen gar nicht mehr geschlossen. Wer noch nicht auf Exchange Server SE oder Exchange Online umgestiegen ist, sollte die Migration nicht weiter aufschieben.

Hinweis zur Quellenlage: Microsofts Support-Artikel zu KB5129955 nennt in seiner Liste der behobenen Lücken eine abweichende CVE-Nummer, während Security Update Guide, CVE-Eintrag und Fachmedien übereinstimmend CVE-2026-96940 angeben. Wir gehen von einem Schreibfehler im Support-Artikel aus und beziehen uns auf den Security Update Guide.

Anlass für diesen Beitrag war die Meldung von heise online: „Microsoft schiebt Exchange-Update nach“.

Quellen & weiterführende Links

• heise online

  Microsoft schiebt Exchange-Update nach
• Microsoft Security Response Center

  CVE-2026-96940 – Microsoft Exchange Server Elevation of Privilege Vulnerability
• Microsoft Support

  Description of version 2 of the security update for Exchange Server SE RTM (KB5129955)
• Microsoft Download Center

  Security Update for Exchange Server SE RTM SU10v2 (KB5129955)
• Borns IT- und Windows-Blog

  Exchange Server Sicherheits-Updates vom 2.10.2026 schließen CVE-2026-96940
• Frankys Web

  Exchange SE Update KB5129955 kursiert via Windows Update / WSUS
• Der Windows Papst

  Exchange Server: V2-Sicherheitsupdates schließen CVE-2026-96940
• Neowin

  On-premises Exchange administrators must install V2 security updates