Exchange Server: V2-Sicherheitsupdates schließen CVE-2026-96940 – KB5129955 ist aufgeklärt

Microsoft hat zum 2. Oktober 2026 Sicherheitsupdates für Microsoft Exchange Server 2016, Exchange Server 2019 und Exchange Server SE veröffentlicht. Sie beheben die Elevation-of-Privilege-Schwachstelle CVE-2026-96940 (CVSS 8.8). Damit klärt sich auch die Frage, die wir hier vor einigen Stunden aufgeworfen hatten: Was hat es mit dem Update KB5129955 auf sich, das plötzlich im WSUS auftauchte?

Die Auflösung: KB5129955 ist legitim

Am 1. Oktober 2026 verteilte Microsoft über Windows Update und WSUS ein Update für Exchange Server SE mit der Nummer KB5129955 – ohne Ankündigung im Exchange Team Blog, ohne Support-Artikel, ohne Hinweis auf behobene Schwachstellen. Für Administratoren ist das eine unangenehme Situation: Ein unangekündigtes Update für einen der am häufigsten angegriffenen Serverdienste genehmigt man nicht blind.

Inzwischen ist klar: KB5129955 ist das „Security Update for Exchange Server SE RTM SU10v2“, also eine zweite Fassung des September-Updates. Laut Exchange-Team besteht der einzige Unterschied zur ursprünglichen September-Version darin, dass der Fix für CVE-2026-96940 hinzugekommen ist. Das Update ersetzt damit das September-SU und kann im WSUS freigegeben werden.

Die Schwachstelle CVE-2026-96940

Bei CVE-2026-96940 handelt es sich um eine Rechteausweitung aufgrund unzureichender Autorisierungsprüfung in Exchange Server. Ein bereits angemeldeter Angreifer kann seine Rechte über das Netzwerk ausweiten. Berichten zufolge geht es dabei um den Zugriff auf fremde Postfächer. Betroffen sind ausschließlich lokale Exchange-Server; Exchange Online ist laut Microsoft bereits geschützt.

Die Hürde „angemeldeter Benutzer“ sollte niemanden beruhigen. Ein einziges per Phishing übernommenes Konto oder ein kompromittierter Client genügt als Ausgangspunkt. Gerade bei Exchange haben die vergangenen Jahre gezeigt, wie schnell nach Veröffentlichung eines Patches funktionierende Angriffe entstehen.

Updates und Ziel-Builds

Umsetzung in der Praxis

1. Bestand prüfen

AdminDisplayVersion zeigt nur das Cumulative Update, nicht das installierte Security Update. Maßgeblich ist die Dateiversion von ExSetup.exe. Das folgende Skript prüft alle Exchange-Server der Organisation aus der Exchange Management Shell:

# Gepatchte Builds für CVE-2026-96940 (Schlüssel = Major.Minor.Build des CU)
$fixed = @{
    '15.2.2562' = [version]'15.2.2562.53'   # Exchange SE RTM   - KB5129955
    '15.2.1748' = [version]'15.2.1748.53'   # Exchange 2019 CU15 - KB5129956
    '15.2.1544' = [version]'15.2.1544.48'   # Exchange 2019 CU14 - KB5129957
    '15.1.2507' = [version]'15.1.2507.75'   # Exchange 2016 CU23 - KB5129958
}

Get-ExchangeServer | Sort-Object Name | ForEach-Object {
    $srv = $_.Fqdn
    $raw = Invoke-Command -ComputerName $srv -ScriptBlock {
        (Get-Command ExSetup.exe).FileVersionInfo.FileVersion
    }
    $ver = [version]$raw
    $key = '{0}.{1}.{2}' -f $ver.Major, $ver.Minor, $ver.Build

    $status = if (-not $fixed.ContainsKey($key)) { 'CU nicht unterstützt - zuerst CU aktualisieren' }
              elseif ($ver -ge $fixed[$key])      { 'geschützt' }
              else                                { 'UPDATE FEHLT' }

    [pscustomobject]@{ Server = $_.Name; Build = $ver; Status = $status }
} | Format-Table -AutoSize

Alternativ liefert das Exchange Server Health Checker-Skript von Microsoft neben dem Build-Stand zahlreiche weitere Konfigurationsbefunde. Microsoft empfiehlt, es vor der Installation auszuführen, um Server mit Rückstand zu finden.

2. Update freigeben bzw. installieren

Im WSUS erscheint das Update für Exchange SE als „Security Update for Exchange Server SE RTM SU10v2 (KB5129955)“ und kann freigegeben werden. Bei manueller Installation gilt wie immer: Das Paket aus einer erhöhten Eingabeaufforderung starten, nicht per Doppelklick – sonst bricht das Setup gern unvollständig ab und lässt Dienste deaktiviert zurück. In einer DAG die Server nacheinander in den Wartungsmodus versetzen und aktualisieren.

3. Nach der Installation

# Nach dem Neustart: Laufen alle benötigten Exchange-Dienste?
Test-ServiceHealth | Where-Object { $_.ServicesNotRunning } |
    Select-Object Role, ServicesNotRunning

# Automatisch startende Exchange-Dienste, die nicht laufen
Get-Service MSExchange* |
    Where-Object { $_.StartType -eq 'Automatic' -and $_.Status -ne 'Running' }

Anschließend das Prüfskript aus Schritt 1 erneut ausführen – erst wenn alle Server „geschützt“ melden, ist das Thema erledigt.

Fallstricke

Compliance-Bezug

Im BSI IT-Grundschutz sind die Bausteine APP.5.2 Microsoft Exchange und Outlook sowie OPS.1.1.3 Patch- und Änderungsmanagement einschlägig. Unter NIS2 fällt das zeitnahe Schließen bekannter Schwachstellen unter Art. 21 Abs. 2 lit. e (Sicherheit bei Wartung einschließlich Umgang mit Schwachstellen). Der Betrieb von Exchange 2016/2019 ohne ESU ist mit diesen Anforderungen kaum noch zu begründen. In den CIS Controls passt Control 7 (kontinuierliches Schwachstellenmanagement). Dokumentieren Sie Freigabe, Installation und Nachprüfung – gerade bei einem Update, das zunächst ohne Ankündigung erschien, ist der Nachweis der bewussten Entscheidung wertvoll.

Fazit

Das Rätsel um KB5129955 ist gelöst: Es handelt sich um das reguläre V2-Sicherheitsupdate für Exchange Server SE, das CVE-2026-96940 schließt. Freigeben, installieren, Build prüfen – und zwar zeitnah, denn eine Rechteausweitung mit CVSS 8.8, die nur ein normales Benutzerkonto voraussetzt, ist für Angreifer attraktiv. Wer noch Exchange 2016 oder 2019 ohne ESU betreibt, bekommt mit dieser Lücke ein weiteres Argument für die Migration auf Exchange SE geliefert.