Exchange产品组已于2026年10月13日发布最新Exchange Server SU（安全更新），请大家及时测试并安装更新，另外ESU v2将于2026年10月底结束，微软后续将只为Exchange Server SE提供更新。
一、详细说明请看产品组博文：
Released: October 2026 Exchange Server Security Updates | Microsoft Community Hub
二、要点总结如下：
1、根据以下KB显示10月SU修复了6个CVE，其中CVSS基本分数最高达到了9.3，属于严重级别：
- CVE-2026-70571 - Microsoft Exchange Server Remote Code Execution Vulnerability
- CVE-2026-77910 - Microsoft Exchange Server Elevation of Privilege Vulnerability
- CVE-2026-87692 - Microsoft Exchange Server Elevation of Privilege Vulnerability
- CVE-2026-87695 - Microsoft Exchange Server Elevation of Privilege Vulnerability
- CVE-2026-87696 - Microsoft Exchange Server Elevation of Privilege Vulnerability
- CVE-2026-70279 - Microsoft Exchange Server Spoofing Vulnerability
2、Exchange Server SE RTM SU11下载地址：
注意：Exchange 2016和2019因为已不受支持，除非注册了ESU v2（第二阶段扩展安全更新项目），否则无法下载最新SU。
3、本次更新修正了两个之前发现已知问题：
- Published calendar (.ics) returns HTTP 500 for calendar applications
- ContentEngine deadlock because of missing Korean WordBreaker rule files
4、按计划ESU v2（第二阶段扩展安全更新项目）将于2026年10月底结束，这意味着，微软后续将只为Exchange Server SE提供更新，即使早前注册了ESU v2的客户，微软也不再为其提供Exchange 2016和2019的安全更新了。同时，微软将停止对Exchange 2016和2019的漏洞测试，更新公告及 MSRC 发布的任何 CVE 将停止提及 Exchange 2016 和 2019，但这并不意味着这些版本不会受到未来的安全问题影响。所以，再次提醒所有Exchange Server的客户，接下来唯一获取和应用新SU的方法是升级Exchange Server。
5、安装这个月SU同样不会自动移除在5月应用的CVE-2026-42897缓解措施，如果之前没有移除或撤销过需要：
A、如果是自动执行的缓解措施，请手动阻止应用相关EM（Exchange 紧急缓解服务）并删除之前创建的相关IIS规则，请看:
注意：针对CVE-2026-42897，阻止缓解命令用到的缓解ID是M2.1.0
6、如果之前使用的是EOMT（Exchange本地缓解工具）手动应用的缓解措施，请下载最新的EOMT执行撤销缓解操作，请看：
https://microsoft.github.io/CSS-Exchange/Security/EOMT/#roll-back-a-mitigation
7、安装完SU后，建议下载并执行最新Exchange Health Checker脚本进行最终检查：
https://microsoft.github.io/CSS-Exchange/Diagnostics/HealthChecker/
注意：脚本现在还会检测是否存在老旧、已弃用的旧版所遗留Exchange Server安全组，如Exchange Domain Servers 和 Exchange Enterprise Servers，这些组自Exchange 2007起已被弃用，不应继续使用，如报告中出现，建议及时删除，以免带来风险。
8、安装最新的SU是正常应用后续可能的EM的前提条件，否则2026年7月起将无法应用可能出现的新EM。
如果您有问题，欢迎留言或是到5DMail专属微信群来讨论！
