Exchange Server: Windows-Server-Oktober-Update legt Mailfluss lahm, Microsoft bestätigt

Exchange-Server, die mit den Windows-Server-Updates vom 13. Oktober 2026 gepatcht wurden, können nach rund 20 bis 30 Stunden Laufzeit den Mailfluss verlieren. Microsoft hat das Problem am 15. Oktober im Exchange Team Blog bestätigt und untersucht es gemeinsam mit dem Windows-Team. Betroffen sind lokale Exchange-Installationen (Exchange Server SE, 2019 und 2016) auf Windows Server 2016 bis 2025, und zwar unabhängig davon, ob das Exchange-Sicherheitsupdate vom Oktober installiert ist.

Für Admins mit lokalem Exchange ist das heute relevant: Wer das Windows-Update bereits eingespielt hat, sollte die Server aktiv überwachen und einen Neustart oder einen Workaround einplanen, bevor Warteschlangen volllaufen. Wer reine Exchange-Online-Umgebungen ohne lokale Exchange-Server betreibt, ist von diesem Fehlerbild nach aktuellem Stand nicht betroffen. Einen offiziellen Fix gibt es noch nicht.

Was ist passiert?

Am Oktober-Patchday hat Microsoft sowohl Sicherheitsupdates für Exchange Server als auch die kumulativen Updates für Windows Server veröffentlicht. Ab dem 15. Oktober häuften sich in den Kommentaren zum Exchange Team Blog, bei Frankys Web und in Borns IT- und Windows-Blog Berichte über Exchange-Server, die etwa einen Tag nach dem Patchen stehen bleiben. Zunächst stand das Exchange-Sicherheitsupdate KB5128895 (SU11 für Exchange SE) unter Verdacht.

Microsoft hat den Blogbeitrag zu den Exchange-Updates am 15. Oktober um einen Hinweis ergänzt. Demnach können die Windows-Server-Updates KB5126646 (Windows Server 2025), KB5126655 (Windows Server 2022), KB5126651 (Windows Server 2019) und KB5126868 (Windows Server 2016) dazu führen, dass Outlook im Web mit folgendem Fehler ausfällt:

MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142)

Im Anwendungsprotokoll erscheint dazu Ereignis-ID 1006, die Mailwarteschlangen wachsen. Microsoft betont ausdrücklich, dass die Exchange-Updates vom Oktober für das Auftreten nicht erforderlich sind. Laut Frankys Web werden die Datenbanken im Exchange Admin Center trotzdem weiter als eingebunden angezeigt, Benutzer können sich aber nicht mehr verbinden. Heise berichtete am 16. Oktober ebenfalls über die Ausfälle.

Wer ist betroffen?

• Lokale Exchange-Server (Exchange SE, Exchange 2019 und 2016) auf Windows Server 2016, 2019, 2022 oder 2025 mit dem jeweiligen Oktober-Update.
• Hybrid-Umgebungen mit lokalen Exchange-Servern für Mailfluss oder Verwaltung, sofern diese Server das Windows-Update erhalten haben.
• DAG-Cluster: Berichte zeigen, dass einzelne Mitglieder zeitversetzt ausfallen, abhängig vom Installationszeitpunkt.

Nicht betroffen sind nach aktuellem Stand Umgebungen ohne lokale Exchange-Server sowie Exchange-Server, auf denen die Oktober-Updates für Windows Server noch nicht installiert sind. Microsoft-Mitarbeiter Nino Bilic schreibt zudem, dass bei weitem nicht jeder Server betroffen sei: Das Problem hänge von Spitzenlast und schleichender Ressourcenerschöpfung ab, manche Server würden es nie zeigen. Ob eine von Born erwähnte Exchange-Online-Störung zusammenhängt, ist nicht bestätigt.

Was steckt technisch dahinter?

Eine offizielle Ursachenbeschreibung fehlt bisher. Bilic bestätigt nur, dass ein Windows-Update hier eine Einstellung verändert habe. Eine von Frankys Web veröffentlichte Leser-Analyse sieht den Auslöser im RPC Endpoint Mapper: Das Oktober-Update führe ein Limit von 512 gespeicherten Suchkontexten ein. Exchange erzeugt solche Kontexte laufend und gibt sie erst beim Beenden des jeweiligen Prozesses frei. Je nach Last sei das Limit nach etwa 20 bis 24 Stunden erreicht, danach schlagen RPC-Verbindungen fehl. Das würde erklären, warum ein Neustart nur vorübergehend hilft.

Passend dazu schließt der Oktober-Patchday laut Microsofts Update-Daten die Lücke CVE-2026-96300 im RPC Endpoint Mapper Service, eine Denial-of-Service-Schwachstelle mit CVSS 5.9, die laut Microsoft weder öffentlich bekannt noch ausgenutzt ist. Dass das neue Limit der Fix für diese Lücke ist, ist eine plausible, aber von Microsoft nicht bestätigte Annahme.

Wie kritisch ist das?

Es handelt sich um ein Verfügbarkeitsproblem, keine Sicherheitslücke. Für betroffene Firmen ist es aber akut: Mailzustellung und Outlook im Web fallen aus, ohne dass die Datenbanken im Admin Center als gestört erscheinen. Admins mit lokalem Exchange sollten heute prüfen, ob die Oktober-Updates für Windows Server installiert sind, statt auf das nächste Wartungsfenster zu warten.

Das Zurückrollen des Windows-Updates entfernt zugleich die Oktober-Sicherheitskorrekturen für Windows. Das Exchange-Sicherheitsupdate selbst ist laut Microsoft nicht die Ursache und schließt unter anderem CVE-2026-70279 (Spoofing, CVSS 9.3) und CVE-2026-70571 (Remote Code Execution, CVSS 8.1). Es sollte deshalb nicht pauschal zurückgehalten werden.

Was sollten Admins jetzt tun?

• Zuerst inventarisieren: Auf jedem Exchange-Server prüfen, ob KB5126646, KB5126655, KB5126651 oder KB5126868 installiert ist, etwa per Get-HotFix, und den Installationszeitpunkt notieren.
• Monitoring schärfen: Anwendungsprotokoll auf Ereignis-ID 1006 mit MapiExceptionMdbOffline sowie die Länge der Transportwarteschlangen per Get-Queue überwachen.
• Neustarts planen: Als von Microsoft-Seite akzeptierte Überbrückung gelten geplante Neustarts vor Ablauf von etwa 20 Stunden. In einer DAG die Server nacheinander neu starten und vorher die Datenbankkopien prüfen.
• Registry-Workaround nur bewusst einsetzen: Diskutiert wird der Wert EpmapSavedContextCap unter HKLM\SOFTWARE\Microsoft\Rpc. Bilic nennt ihn eine vorübergehende Linderung, die nicht unsicher sei, aber womöglich nicht die endgültige Lösung. Der Wert wird erst nach einem Neustart wirksam und hebt den Schutz vor CVE-2026-96300 faktisch auf.
• Noch nicht gepatchte Exchange-Server: Das Windows-Update dort bis zu offizieller Microsoft-Anleitung zurückstellen, das Exchange-Sicherheitsupdate aber einspielen.
• Änderungen dokumentieren, damit Registry-Wert oder zurückgestelltes Update nach dem offiziellen Fix wieder rückgängig gemacht werden.
• Den Exchange Team Blog und die Known-Issues-Abschnitte der Windows-KB-Artikel beobachten. Zum Zeitpunkt der Prüfung am 17. Oktober nannte etwa KB5126655 das Exchange-Problem noch nicht.

Einordnung für Unternehmen

Gerade kleinere Firmen betreiben Exchange oft auf einem einzelnen Server, auf dem Windows- und Exchange-Updates im selben Wartungsfenster laufen. Dort fällt der Mailverkehr ohne Redundanz komplett aus, und der zeitverzögerte Ausfall erschwert die Zuordnung. Ein automatischer Neustart per Aufgabenplanung ist eine pragmatische Überbrückung, sollte aber außerhalb der Geschäftszeiten liegen.

Zugleich zeigt der Fall erneut, warum Exchange-Server nicht automatisch am Patchday mitgepatcht werden sollten. Ein gestaffeltes Vorgehen mit einem Testsystem oder zumindest 24 bis 48 Stunden Beobachtung hätte das Fehlerbild früh sichtbar gemacht. Für Exchange 2016 und 2019 ist der Oktober zudem das letzte Update im ESU-Programm, danach erscheinen Updates nur noch für Exchange SE.

Passende Anleitungen auf S-EDV

• Exchange Server: Update vom 2. Oktober schließt Postfach-Lücke CVE-2026-96940: Hintergrund zum vorherigen Exchange-Update dieses Monats.
• Windows 11 Oktober-Update KB5127648: weitere bekannte Probleme vom selben Patchday auf Clientseite.
• Exchange Online Migration von On-Premises: für Firmen, die den Betrieb eigener Exchange-Server grundsätzlich überdenken.

Quellen

• Microsoft Exchange Team Blog: Exchange-Sicherheitsupdates Oktober 2026 mit Hinweis vom 15.10.2026
• Antwort von Nino Bilic (Microsoft) zum Registry-Workaround, 16.10.2026
• Microsoft Support: KB5126655 für Windows Server 2022
• Microsoft Security Update Guide: CVE-2026-96300
• Frankys Web: Exchange Server SE, Probleme mit den Oktober-Updates für Windows Server
• Borns IT- und Windows-Blog: Exchange Server Oktober-Updates führen zu Ausfällen
• Borns IT- und Windows-Blog: Microsoft analysiert die Probleme
• heise online: Microsoft untersucht Exchange-Probleme nach Updates