2026年9月Exchange Server安全更新V2版发布 - 邮件技术资讯网

Exchange产品组已于2026年10月2日针对2026年9月Exchange Server安全更新的V2版本带外更新（OOB），请大家及时测试并安装更新。

一、详细说明请看产品组博文：

Released: September 2026 V2 Exchange Server Security Updates

二、要点总结如下：

1、根据以下KB显示V2版本的9月SU，修复了9个CVE，相比9月V1版本的SU，增加了CVE-2026-96940的修复：

Microsoft Exchange Server 订阅版 RTM 安全更新版本 2 说明 2026 年 10 月 2 日 (KB5129955) | Microsoft Support

2、官方针对CVE-2026-96940的说明文档中显示，这个CVE的基本CVSS分数为8.8，属于重要级别：

CVE-2026-96940 - 安全更新程序指南 - Microsoft - Microsoft Exchange Server 特权提升漏洞

3、CVE-2026-96940是一个特权提升的漏洞，Microsoft Exchange Server 中的弱授权允许已经经过身份验证的攻击者通过网络提升权限。经过身份验证的攻击者如果成功利用此漏洞，可未经授权访问同一组织内其他用户的邮箱，并读取电子邮件消息和附件。此漏洞无法跨租户边界访问。虽然目前尚无被利用的迹象，但请大家及时更新。

3、Exchange Server SE RTM SU10v2下载地址：

Download Security Update for Exchange Server SE RTM SU10v2 (KB5129955) from Official Microsoft Download Center

注意：Exchange 2016和2019因为已不受支持，除非注册了ESU v2（第二阶段扩展安全更新项目），否则无法下载最新SU，唯一获取和应用新SU的方法是升级Exchange Server。

4、本次更新和V1一样修正了两个之前发现已知问题：

5、然后维持以下已知问题：

6、安装这个月SU同样不会自动移除在5月应用的CVE-2026-42897缓解措施，如果之前没有移除或撤销过需要：

A、如果是自动执行的缓解措施，请手动阻止应用相关EM（Exchange 紧急缓解服务）并删除之前创建的相关IIS规则，请看:

https://learn.microsoft.com/zh-cn/Exchange/plan-and-deploy/post-installation-tasks/security-best-practices/exchange-emergency-mitigation-service #rollback -procedures-for-released-mitigations

注意：针对CVE-2026-42897，阻止缓解命令用到的缓解ID是M2.1.0

B、如果之前使用的是EOMT（Exchange本地缓解工具）手动应用的缓解措施，请下载最新的EOMT执行撤销缓解操作，请看：

https://microsoft.github.io/CSS-Exchange/Security/EOMT/#roll -back-a-mitigation

7、安装完SU后，建议下载并执行最新Exchange Health Checker脚本进行最终检查：

https://microsoft.github.io/CSS-Exchange/Diagnostics/HealthChecker/

注意：脚本现在还会检测是否存在老旧、已弃用的旧版所遗留Exchange Server安全组，如Exchange Domain Servers 和 Exchange Enterprise Servers，这些组自Exchange 2007起已被弃用，不应继续使用，如报告中出现，建议及时删除，以免带来风险。

8、安装最新的SU是正常应用后续可能的EM的前提条件，否则2026年7月起将无法应用可能出现的新EM。

如果您有问题，欢迎留言或是到5DMail专属微信群来讨论！