Mises à jour Exchange (SU & CU)
Les mises à jour de sécurité (SU) et cumulatives (CU) d’Exchange Server par ordre chronologique : vulnérabilités corrigées, problèmes connus à l’installation et travaux de suivi après le Patch Day.
NouveauPannes d’Exchange après les mises à jour Windows Server d’octobre 2026 : MapiExceptionMdbOffline (ec=1142)
Après les mises à jour Windows Server du 13 octobre 2026, les serveurs Exchange signalent MapiExceptionMdbOffline (ec=1142) après environ 24 heures : OWA échoue, les files d’attente grossissent et les copies DAG ne se répliquent plus. Microsoft confirme le lien avec les mises à jour Windows, mais aucun correctif n’est encore disponible. Symptômes, KB concernés, commandes de vérification et procédure.
NouveauMises à jour de sécurité Exchange d’octobre 2026 : six vulnérabilités, dernière mise à jour pour Exchange 2016 et 2019
La SU d’octobre corrige six vulnérabilités, dont une exécution de code à distance critique via un e-mail spécialement conçu, ainsi que le problème .ics et le blocage de WordBreaker. Il s’agit de la dernière mise à jour pour Exchange 2016 et 2019, y compris dans le programme ESU.
Mise à jour de sécurité Exchange de septembre 2026 v2 : correctif anticipé pour CVE-2026-96940
Le 2 octobre 2026, Microsoft a publié une version 2 des SU de septembre pour Exchange SE, 2019 et 2016. Elle corrige également CVE-2026-96940, une vulnérabilité d’élévation de privilèges avec un CVSS de 8.8 et l’évaluation « Exploitation More Likely ». Microsoft recommande d’installer v2 dès que possible, y compris sur les serveurs équipés du premier SU de septembre.
Mises à jour de sécurité Exchange de septembre 2026 : neuf vulnérabilités, problème de wrapper corrigé, v2 publiée
La SU de septembre corrige neuf vulnérabilités dans Exchange SE et 2019 (huit dans Exchange 2016), dont une faille d’usurpation avec un CVSS de 9.3, et résout le problème de wrapper dans les environnements hybrides. Le 2 octobre, une v2 a suivi avec une CVE supplémentaire ; trois problèmes connus avec des solutions de contournement et un SettingOverride à supprimer s’y ajoutent.
Exchange Online limite et bloque les serveurs Exchange 2016 et 2019 obsolètes à partir de septembre 2026 : fonctionnement du transport enforcement
À partir de la deuxième semaine de septembre 2026, Exchange Online exige des serveurs hybrides au minimum la SU d’octobre 2025, faute de quoi le flux de messagerie est limité puis bloqué. Contexte du transport enforcement depuis 2023, niveaux d’escalade avec codes SMTP, rapport dans l’Admin Center, pause de 90 jours via PowerShell et raison pour laquelle la prochaine hausse ne laissera passer que les clients ESU et Exchange SE.
Mises à jour de sécurité Exchange d’août 2026 : faille Pwn2Own corrigée, OWA Light désactivé
La SU d’août corrige sept vulnérabilités, dont l’exploit Exchange démontré lors de Pwn2Own 2026, et désactive définitivement OWA Light. Microsoft explique également pourquoi les SU Exchange paraissent désormais chaque mois et pourquoi Exchange SE CU1 se fait toujours attendre.
Assurer correctement le suivi des mises à jour de sécurité Exchange de juillet 2026
Après l’installation, deux tâches de nettoyage sont nécessaires : supprimer de manière contrôlée l’ancienne mitigation CVE-2026-42897 et vérifier les groupes hérités sur-privilégiés dans Active Directory.
