Exchange Server SE: Sicherheitsupdate November 2026 (SU12, KB5133453)

Am 10. November 2026 hat Microsoft das Security Update 12 für Exchange Server SE veröffentlicht. Es schließt neun Lücken, eine davon ist als kritisch eingestuft. Für Exchange 2016 und 2019 gibt es zum ersten Mal kein Update mehr.

Was im Update steckt

Das Update trägt die KB-Nummer KB5133453 und hebt Exchange SE RTM auf Build 15.2.2562.57. Es ersetzt das Oktober-Update KB5128895 (Build 15.2.2562.56). Die Security Updates sind kumulativ. Wer den Oktober ausgelassen hat, installiert direkt das November-Update und muss nichts nachholen.

Diese Schwachstellen werden geschlossen:

Zwei Lücken erlauben das Ausführen von Code, drei weitere mit 8.8 Punkten eine Rechteausweitung. Das reicht, um das Update nicht bis zum nächsten Wartungsfenster liegen zu lassen. Exchange Online ist laut Microsoft bereits geschützt. In Hybrid-Umgebungen gilt das aber nicht für die lokalen Server, auch dann nicht, wenn dort nur noch Empfänger verwaltet werden.

Außerdem behebt das Update einen Fehler bei den Hybrid-Funktionen über Microsoft Graph, durch den Frei/Gebucht-Zeiten falsch angezeigt wurden.

Exchange 2016 und 2019 bleiben jetzt offen

Oktober 2026 war der letzte Monat, in dem Teilnehmer des ESU-Programms (Period 2) noch Updates für Exchange 2016 und 2019 bekommen haben. Ab November prüft Microsoft diese Versionen nicht mehr auf Schwachstellen und liefert nichts mehr aus. Microsoft bezeichnet sie selbst als dauerhaft verwundbar.

Die Instabilität nach den Oktober-Updates

Nach den Windows-Server-Updates vom Oktober 2026 konnten Exchange-Server jeder Version instabil werden. Michel de Rooij führt das auf den RPC-Endpunktzuordnungsdienst zurück. Microsoft hatte damals einen Registry-Eintrag als Workaround veröffentlicht.

Behoben wird das Problem nicht durch das Exchange-Update, sondern durch die Windows-Server-Updates vom November. Ein Microsoft-Mitarbeiter hat das in den Kommentaren zum Techcommunity-Beitrag noch einmal ausdrücklich bestätigt. Der Registry-Eintrag aus dem Oktober kann bleiben, wird nach den November-Updates für Windows aber nicht mehr gebraucht. In welcher Reihenfolge Sie Windows- und Exchange-Update einspielen, spielt keine Rolle.

Installation in der Praxis

1. Stand erfassen

Zuerst prüfe ich auf jedem Server, welcher Build läuft. Das geht in der Exchange Management Shell:

Get-ExchangeServer | Format-Table Name, Edition, AdminDisplayVersion

# Genaue Dateiversion auf dem lokalen Server
Get-Command Exsetup.exe | ForEach-Object { $_.FileVersionInfo }

Steht dort 15.2.2562.57, ist das November-Update bereits drauf. Gründlicher ist der Exchange Server Health Checker von Microsoft. Er zeigt fehlende Updates und gleich auch Konfigurationsprobleme wie fehlende Extended Protection.

# Download: https://aka.ms/ExchangeHealthChecker
.\HealthChecker.ps1
.\HealthChecker.ps1 -BuildHtmlServersReport

2. Windows-Updates vom November einspielen

Damit ist die Oktober-Instabilität erledigt. Danach neu starten.

3. Exchange-SU installieren

Das Paket ExchangeSubscriptionEdition-KB5133453-x64-en.exe kommt über Windows Update oder als Einzeldownload aus dem Microsoft Download Center. Bei mehreren Servern gehe ich einen nach dem anderen durch und setze bei DAG-Mitgliedern vorher den Wartungsmodus. Wer das Paket per Hand startet, sollte das aus einer Eingabeaufforderung mit Administratorrechten tun.

4. Dienste kontrollieren

Nach dem Neustart müssen alle Exchange-Dienste laufen. Stehen Dienste auf „Deaktiviert“, wurde die Installation unterbrochen. Microsoft beschreibt dafür in der FAQ einen Workaround, bei Setup-Fehlern hilft das SetupAssist-Skript weiter.

Get-Service MSExchange*, W3SVC, IISAdmin |
    Where-Object { $_.StartType -eq 'Disabled' -or $_.Status -ne 'Running' } |
    Format-Table Name, Status, StartType

Zum Schluss lasse ich den Health Checker noch einmal laufen. Er zeigt auch, ob nach dem Update noch etwas nachzuziehen ist.

Was gern vergessen wird

Die Exchange-Verwaltungstools auf Admin-Workstations und Management-Servern brauchen das Update ebenfalls. Das betrifft auch Umgebungen, in denen der letzte Exchange-Server entfernt wurde und nur noch die Tools für die Empfängerverwaltung installiert sind. In meinen Kundenumgebungen finde ich genau diese Rechner am häufigsten mit altem Stand.

In Hybrid-Umgebungen gilt außerdem: Ändert sich nach dem Update das Auth-Zertifikat, muss der Hybrid Configuration Wizard erneut laufen.

Auf Windows Server 2025 tauchen installierte Exchange-Updates nicht in der Systemsteuerung auf. Der Build-Check von oben ist dort der verlässliche Weg. Ein SU zu deinstallieren, rät Microsoft generell ab.

Was jetzt zu tun ist

Auf Exchange SE spielen Sie erst die Windows-Updates vom November und dann KB5133453 ein, Management-Rechner nicht vergessen. Danach Build prüfen, Dienste prüfen, Health Checker laufen lassen. Wer noch Exchange 2016 oder 2019 betreibt, plant das Upgrade auf SE jetzt und nicht erst im nächsten Quartal. Ab diesem Monat sammeln sich auf diesen Servern bekannte Lücken an, die nicht mehr geschlossen werden.

Quellen: Microsoft Exchange Team Blog: Released: November 2026 Exchange Server Security Updates · MSRC: CVE-2026-118207