Exchange Server SE: KB5133453 schließt neun Lücken, 2016 und 2019 ohne Update
Microsoft hat am 10. November 2026 das Sicherheitsupdate KB5133453 für Exchange Server SE veröffentlicht. Es schließt neun Lücken, darunter die kritische Codeausführung CVE-2026-118207, die ein angemeldetes Konto voraussetzt. Exchange 2016 und 2019 bekommen kein Update mehr und gelten laut Microsoft als dauerhaft verwundbar.
Microsoft hat am 10. November 2026 Sicherheitsupdates für Exchange Server veröffentlicht. Das Paket KB5133453 hebt Exchange Server Subscription Edition (SE) RTM auf Build 15.02.2562.057 und schließt neun Lücken, darunter zwei zur Codeausführung. Für Exchange Server 2016 und 2019 gibt es kein Update mehr, Microsoft prüft diese Versionen auch nicht mehr auf Schwachstellen.
Betroffen sind alle Organisationen mit lokalen Exchange-Servern, auch Hybrid-Umgebungen. Das Update gehört laut Microsoft auch auf Rechner, auf denen nur die Exchange-Verwaltungstools laufen. Reine Exchange-Online-Kunden müssen nichts tun. Ausgenutzt wird laut Microsoft keine der Lücken, das Update gehört aber in das Wartungsfenster dieser Woche, weil alle neun Fehler über das Netzwerk erreichbar sind.
Was ist passiert?
Im Exchange-Team-Blog kündigt Microsoft die November-Sicherheitsupdates ausdrücklich nur für Exchange SE RTM an. Die CVE-Daten des Patchdays führen neun Exchange-Einträge, alle mit derselben Korrektur KB5133453. Die Download-Seite liegt im Microsoft Download Center.
Die wichtigste Lücke ist CVE-2026-118207 mit CVSS 8.8, von Microsoft als kritisch eingestuft. Ein angemeldeter Angreifer mit geringen Rechten kann laut Microsoft mit einer präparierten Anfrage Code auf dem Server ausführen, ohne dass ein Nutzer etwas tun muss. Microsoft hält eine Ausnutzung für „wahrscheinlicher“. Die zweite Codeausführungslücke CVE-2026-118149 (CVSS 8.8) setzt ebenfalls ein angemeldetes Konto voraus.
Dazu kommen vier Rechteausweitungen (CVE-2026-118150 und CVE-2026-118154 mit CVSS 8.8, CVE-2026-118151 und CVE-2026-118157 mit CVSS 7.2), zwei Spoofing-Lücken (CVE-2026-118152 und CVE-2026-118208) und eine Denial-of-Service-Lücke (CVE-2026-118153, CVSS 7.5).
Wer ist betroffen?
- Exchange Server SE RTM: Update KB5133453 installieren.
- Exchange Server 2016 und 2019: kein Update. Microsoft schreibt, diese Versionen gälten als „dauerhaft verwundbar“, Betreiber sollten sofort umsteigen. Laut Microsoft ist auch das Programm Period 2 ESU beendet.
- Exchange Online: bereits geschützt, keine Aktion nötig, außer für lokale Server und Verwaltungsrechner in Hybrid-Umgebungen.
Dass Microsoft die neun Lücken nur für SE führt, ist kein Beleg dafür, dass 2016 und 2019 sicher sind, denn diese Versionen werden nicht mehr untersucht. Frank Zöchling von FrankysWeb hält es wegen der technischen Nähe von Exchange SE und Exchange 2019 CU15 für wahrscheinlich, dass zumindest ein Teil der Lücken auch in 2019 steckt.
Wie kritisch ist das?
Beide Codeausführungslücken und alle Rechteausweitungen setzen laut CVSS-Vektor ein angemeldetes Konto voraus, zwei der Rechteausweitungen sogar hohe Rechte. Ohne Anmeldung angreifbar sind nur die Denial-of-Service-Lücke CVE-2026-118153 und die Spoofing-Lücke CVE-2026-118152, die als CSRF-Fehler eine Aktion des Opfers braucht. Für die Codeausführung senkt die nötige Anmeldung das Risiko nur begrenzt: Ein per Phishing übernommenes Postfachkonto reicht als Ausgangspunkt, und Exchange-Server sind wegen OWA und ActiveSync häufig von außen erreichbar. Aktive Angriffe meldet Microsoft nicht, öffentlich bekannt war vorab keine der Lücken.
Was sollten Admins jetzt tun?
- Inventar: Mit dem Exchange Server Health Checker alle Server prüfen, Microsoft empfiehlt das Skript ausdrücklich für die Bestandsaufnahme.
- KB5133453 auf allen Exchange-SE-Servern und allen Rechnern mit Exchange-Verwaltungstools installieren. Die Sicherheitsupdates sind kumulativ, ältere SUs müssen nicht nachgeholt werden.
- Nach der Installation neu starten und prüfen, ob alle Exchange-Dienste laufen. Deaktivierte Dienste deuten laut Microsoft auf eine unterbrochene Installation hin.
- Instabilität nach den Oktober-Updates: Behoben wird sie nicht durch dieses Exchange-Update, sondern durch die Windows-Server-Updates vom November. Den im Oktober gesetzten Registry-Schlüssel dürfen Admins laut Microsoft stehen lassen, die Reihenfolge der Installation spielt keine Rolle.
- Hybrid: Wird nach dem Update das Auth-Zertifikat geändert, den Hybrid Configuration Wizard erneut ausführen.
- Exchange 2016 und 2019: Migration auf SE einplanen, bis dahin OWA und ECP nicht ungeschützt ins Internet stellen und Anmeldungen überwachen.
Einordnung für Unternehmen
Für Exchange SE ist der November-Patch Routine mit einem kritischen Fund, der ein gültiges Konto braucht. Die eigentliche Nachricht steckt im Kleingedruckten: Wer noch Exchange 2016 oder 2019 betreibt, bekommt ab jetzt nicht einmal mehr Auskunft darüber, welche Lücken offen sind. Für kleine Firmen mit einem einzelnen Exchange 2019 ist der Wechsel auf SE oder zu Exchange Online damit keine Planungsfrage mehr.
Passende Anleitungen auf S-EDV
- Exchange Server: Windows-Server-Oktober-Update legt Mailfluss lahm, Microsoft bestätigt
- Windows-Patchday November 2026: KB5132061, ausgenutzte Outlook-Lücke und NTLM
- Exchange Online: SPF, DKIM und DMARC für die eigene Domäne
