Microsoft har släppt V2 av säkerhetsuppdateringarna för Exchange Server SE samt de ESU-berättigade versionerna av Exchange Server 2019 och 2016. Paketen är daterade 2 oktober 2026 och benämns September 2026 SUv2 i Microsofts buildtabell.
För administratörer är nästa steg att inventera varje server, jämföra rätt versionsgren och läsa den grenens KB-sida. Ett matchande buildnummer är ett viktigt kontrollsteg, men räcker inte ensamt för att förklara en hel miljö säker.
Omfattning: Guiden gäller lokalt installerad Exchange Server och relevanta datorer med Exchange Management Tools. Exchange Online uppdateras av Microsoft. En hybridorganisation behöver däremot fortfarande kontrollera sina lokala Exchange-installationer, även servrar som bara används för administration.
Fyra versioner att jämföra med
Följande uppgifter är verifierade mot Microsofts KB-sidor och aktuella buildtabell den 10 oktober 2026:
| Installerad produktgren | V2-paket från 2 oktober 2026 | Buildnummer |
|---|---|---|
| Exchange Server Subscription Edition RTM | SU10V2, KB5129955 | 15.2.2562.53 |
| Exchange Server 2019 CU15 | SU11V2, KB5129956 | 15.2.1748.53 |
| Exchange Server 2019 CU14 | SU14V2, KB5129957 | 15.2.1544.48 |
| Exchange Server 2016 CU23 | SU25V2, KB5129958 | 15.1.2507.75 |
Microsoft visar också en längre, nollutfylld form, exempelvis 15.02.2562.053 för SE. Det är samma versionsnummer som 15.2.2562.53.
Jämför inom rätt produktgren och CU. Ett numeriskt större värde från en annan gren är inget bevis på rätt uppdatering. Kontrollera dessutom Microsofts senaste buildtabell när arbetet utförs: senare uppdateringar kan ersätta nivån i den här daterade guiden.
Varför finns V2?
Exchange-teamets publiceringsbesked anger att V2 lägger till åtgärden för CVE-2026-96940 jämfört med den ursprungliga septemberutgåvan. Den som redan installerat septemberuppdateringen behöver därför kontrollera om det är den första versionen eller V2.
KB5129955 listar nio CVE-poster: CVE-2026-96940, CVE-2026-55007, CVE-2026-69355, CVE-2026-69356, CVE-2026-69361, CVE-2026-69375, CVE-2026-69378, CVE-2026-69382 och CVE-2026-69641. Guiden gör ingen egen bedömning av CVSS, exploateringsvillkor eller angreppsaktivitet. Följ Microsofts aktuella säkerhetsbesked för sådana uppgifter.
Kontrollera installerad version utan att starta en installation
Microsoft rekommenderar Exchange Server Health Checker för inventering av build, saknade uppdateringar och eventuella kompletterande åtgärder. Hämta den aktuella versionen genom Microsofts CSS-Exchange-dokumentation och följ organisationens rutiner för granskning och körning av administrationsskript.
Dokumentationen anger att Health Checker ska köras som administratör i Exchange Management Shell på en Exchange-server. Utan serverparameter granskar skriptet den lokala servern. Resultaten innehåller miljöinformation och ska hanteras internt.
Microsoft Learn beskriver också denna kontroll av ExSetup.exe-filens version:
Get-Command ExSetup.exe | ForEach-Object { $_.FileVersionInfo }Kör den i Exchange Management Shell på den server som ska kontrolleras. Kommandot läser filversionsinformation; det startar inte uppdateringsinstallationen. Om filen inte hittas har du inte fått ett versionsbesked och ska inte tolka det som att servern är uppdaterad.
I Health Checker kontrollerar du bland annat Build Number och uppgifter om Exchange IU or Security Hotfix Detected. Inventera samtliga berörda servrar och verktygsinstallationer, inte bara den server du först loggade in på.
Använd inte enbart AdminDisplayVersion från Get-ExchangeServer som bevis på installerad SU. Microsofts versionsdokument förklarar att den visar CU-nivån och inte säkerhetsuppdateringens fulla nivå. Filversion och Health Checker behövs för en mer användbar jämförelse.
Exchange 2016 och 2019: kontrollera ESU-avtalet först
De gamla versionerna är utanför ordinarie support. V2-paketen för 2019 CU14/CU15 och 2016 CU23 är enligt Microsoft tillgängliga för organisationer som är anslutna till Period 2 ESU.
Microsofts programbeskrivning anger följande:
- Period 2 omfattar maj till och med oktober 2026 och är avsedd för kunder med Microsoft Enterprise Agreement, EA.
- Avtalet måste köpas separat via Microsofts kundansvariga. Ett tidigare Period 1-avtal övergår inte automatiskt till Period 2.
- ESU ingår inte automatiskt i Volume Licensing eller Software Assurance.
- Efter köp får organisationen nya anvisningar för åtkomst till uppdateringarna. De gamla Period 1-anvisningarna gäller inte för de nya paketen.
- Programmet återställer inte vanlig produktsupport. Microsoft anger också att Period 2 inte ska förlängas efter oktober 2026.
Det går inte att fastställa en enskild organisations uppdateringsrätt från serverns versionsnummer. Kontrollera inköpt period, omfattade servrar och nedladdningsanvisning med den egna avtalsansvariga eller Microsoft. För fortsatt drift behöver en migrering till en version med support planeras; behandla inte ESU som en långsiktig lösning.
Läs rätt kända problem före ändringen
KB-sidorna listar inte exakt samma problem. Vid vår kontroll gäller följande:
| Produkt | Problem som listas i produktens V2-KB |
|---|---|
| SE RTM, KB5129955 | Publicerad kalender i .ics-format kan ge HTTP 500; tillgänglighet för delegerade postlådor kan fallera i hybridmiljöer som enbart använder Graph API; ContentEngine kan låsa sig på grund av saknade koreanska WordBreaker-regelfiler |
| 2019 CU15, KB5129956 | Publicerad .ics-kalender kan ge HTTP 500 |
| 2019 CU14, KB5129957 | Publicerad .ics-kalender kan ge HTTP 500 |
| 2016 CU23, KB5129958 | Publicerad .ics-kalender kan ge HTTP 500 |
En uppgift om hybrid free/busy behöver läsas extra noga. SE:s KB listar ett fel för delegerade postlådor som känt problem och en annan rättning för tidszonförskjutna upptagettider. Exchange-teamets övergripande V2-blogg placerar länken om delegerade postlådor under lösta problem. Den specifika supportartikeln, KB5127092, anger fortfarande att Microsoft undersöker problemet och beskriver en tillfällig åtgärd. En berörd hybridmiljö bör därför få driftfrågan klarlagd före ändringen. Utgå inte från att alla free/busy-problem är lösta och tillämpa inte supportartikelns konfigurationsändring utan att kontrollera miljöns förutsättningar.
Detsamma gäller koreanska mejl och publicerade kalendrar: bedöm miljöns faktiska användning och läs respektive problemlänk i KB-sidan. Tabellen visar dokumenterade problem, inte att varje installation drabbas.
Planera och verifiera uppdateringen
- Inventera först. Fastställ produkt, CU, SU, eventuella hotfixar, operativsystem och ESU-rättighet. Spara en Health Checker-rapport som jämförelseunderlag.
- Säkra återställningen. Kontrollera aktuell säkerhetskopia, att återställningsplanen är användbar och att ett ändringsfönster finns. Granska förutsättningarna för DAG, hybridkopplingar och samexistens enligt miljöns ordinarie rutiner.
- Hämta rätt paket. SE:s KB länkar Microsoft Update Catalog och Download Center. För 2016/2019 används Microsofts åtkomstväg för det köpta ESU-avtalet. Använd inte paket från återpublicerade filarkiv.
- Verifiera hämtningen. Jämför rätt fil och språk med SHA256-informationen i respektive KB och kontrollera Microsofts digitala signatur. En hash för ett engelskt paket ska inte användas som kontroll av en annan språkversion.
- Följ Microsofts installationsanvisning för den aktuella grenen. Säkerhetsuppdateringar är kumulativa inom en CU som paketet stöder; det innebär inte att ett paket kan användas på valfri gammal CU. Genomför nödvändig omstart enligt anvisningen.
- Kontrollera resultatet. Kör aktuell Health Checker igen, jämför filversionen och granska kvarvarande åtgärder. Kontrollera att tjänsterna har startat och verifiera relevanta funktioner, exempelvis mejlflöde, klientanslutning och hybridkalender, enligt organisationens testplan.
Ett installerat paket är inte ett tillräckligt slutkvitto om tjänster saknas eller Health Checker fortfarande rapporterar åtgärder. Vid installationsfel hänvisar Microsoft till SetupAssist och sin vägledning för misslyckade CU/SU-installationer, länkade från publiceringsbeskedet. Eskalera genom organisationens ändringshantering och tillämpliga supportväg. Avinstallera inte en säkerhetsuppdatering på chans.
Vanliga frågor
Vi har bara Exchange Online. Ska vi installera paketen?
Exchange Online-kunder behöver inte installera ett lokalt serverpaket i molntjänsten. Microsoft anger att Exchange Online redan skyddas mot sårbarheterna i dessa uppdateringar. Finns lokala Exchange-servrar eller datorer med Exchange Management Tools ska även de inventeras enligt Microsofts besked.
Är det här samma ändring som avvecklingen av EWS?
Nej. EWS och Apple Mail i Exchange Online gäller klientåtkomst till molntjänsten. Den här guiden gäller säkerhetsuppdatering av lokala installationer.
Kan vi säga att servern är helt skyddad när builden matchar?
Nej. Builden visar en versionsnivå. Kompletterande åtgärder, konfiguration, senare uppdateringar och andra delar av miljön behöver också bedömas. Följ aktuell Health Checker och Microsofts senaste säkerhetsinformation.
Underlaget kontrollerades den 10 oktober 2026. Tekniksvar har inte installerat V2 i en testmiljö eller utfört några serveroperationer. Bilden är en historisk produktlogotyp; Tekniksvar är en oberoende publikation utan anknytning till Microsoft.
