Microsoft, Eylül 2026 Exchange Server güncellemelerini CVE-2026-96940 düzeltmesini eklemek için yeniden yayımladı

Microsoft, Eylül Exchange güncellemelerinin V2 sürümünü yayımladı

Microsoft, Eylül 2026 Exchange Server güvenlik güncellemelerini ikinci bir V2 sürümü olarak yeniden yayımladı ve özgün paketlerden tek farkı CVE-2026-96940 düzeltmesinin dahil edilmesi. Exchange Team duyurusunun SecurityOnline.info özetine dayanan dev.to'daki bir yazıya göre Microsoft, bu açığı kendi iç incelemesi sırasında tespit etti ve aktif olarak sömürüldüğüne dair herhangi bir kanıt görmedi.

Bu yeniden yayımlama, Eylül yamalamasını tamamlanmış sayan herkes için önemli. V2 paketleri ilk sürümde bulunmayan bir düzeltme içerdiğinden, Eylül'ün başında yamalanmış sunucuların ikinci bir turdan geçmesi hâlâ gerekiyor.

Hangi sürümler kapsanıyor

V2 güncellemeleri üç ürün adı altındaki dört sürüm hattına uygulanıyor:

• Exchange Server Subscription Edition (SE) RTM
• Exchange Server 2019 CU14
• Exchange Server 2019 CU15
• Exchange Server 2016 CU23

dev.to yazısı bu aralıkta pratik bir tuzağa dikkat çekiyor: yalnızca tek bir ürün hattıyla eşleşen bir envanter sorgusu, kapsam içindeki varlıkları eksik sayar. Kapsanan set Subscription Edition, Exchange 2019'un iki toplu güncellemesini ve Exchange 2016'nın desteklenen son sürümünü kapsadığından, herhangi bir varlık araması açıkça dört sürüm kombinasyonunun tamamıyla eşleşmelidir.

ESU kaydı düzeltmeyi kimin indirebileceğini belirliyor

Exchange 2016 ve Exchange 2019 her ikisi de ana desteği geride bıraktı. Bu sürümlere yönelik düzeltmeler bu nedenle yalnızca Mayıs ve Ekim 2026 arasında yayımlanan güncellemeleri kapsayan Period 2 Extended Security Update (ESU) programına kayıtlı kuruluşlara sunuluyor. Subscription Edition RTM, ESU kaydına bağlı değil.

dev.to yazısı, bu destek sınırının sürüm verileriyle aynı envanterde yer alması gerektiğini savunuyor. ESU'ya kayıtlı olmayan 2016 veya 2019 sürümündeki sunucular V2 paketlerini hiç alamaz; bu nedenle söz konusu sunucular yamalama yerine göçe yönlendirilmeli ve envanter bu ayrımı açıkça göstermelidir.

Kapsanan ayak izi ne kadar büyük

Ölçek fikri vermek için dev.to yazısı, 3 Ekim 2026 itibarıyla app="Microsoft Exchange Server" ürün parmak izinin ZoomEye International üzerinde 1.098.562 varlıkla eşleştiğine işaret ediyor. Bu sayı, erişilebilir Exchange dağıtımlarını sayar; CVE-2026-96940'a karşı savunmasız olduğu doğrulanmış sunucuları değil. İnternet geneli sayılar ürünün ne kadar yaygın olduğunu gösterir; bir kuruluşa kendi sunucularından hangilerinin ilgilenilmesi gerektiğini söyleyemez.

Yazının açıkladığı gibi, maruziyet verisi ile eyleme dönüştürülebilir bir yama listesi arasındaki köprü, her sunucunun ESU kayıt durumuyla çapraz kontrol edilen bir iç sürüm raporudur; böylece her sunucu gerçekte indirilebilecek bir pakete eşlenir.

Yöneticiler ne yapmalı

Önerilen eylem güncellemeyi derhal yüklemek. dev.to yazısında belirtilen adımlar basit: Microsoft Security Update Guide'ı açın, her sunucuya uyan sürümü belirleyin, toplu paketi uygulayın, yeniden başlatın ve sonrasında tüm Exchange servislerinin geri geldiğini doğrulayın.

Eylül'deki özgün sürümü çoktan dağıtmış ekipler, V2 paketini bir işlem gerektirmeyen bir güncelleme değil, taze bir dağıtım olarak ele almalı; çünkü ilk tur güncellemeleri CVE-2026-96940 düzeltmesinden öncedir.

Neden önemli

Bu hikâye, Exchange yönetiminde iki yinelenen soruna dikkat çekiyor. Birincisi, bir yama döngüsü ancak paketin son sürümü geldiğinde tamamlanmış olur: Eylül güncellemelerini erken kapatan kuruluşlar şimdi, kendi süreçlerinin bir başarısızlığı olmaksızın, sessizce bir düzeltmeyi kaçırıyor. İkincisi, ESU sınırı yamalanabilir popülasyonu bölüyor. İnternette görülebilir bir milyondan fazla Exchange varlığı ve eski sürümlere yönelik düzeltmelerin genişletilmiş destek programının arkasına kilitlenmiş olmasıyla, dağıtımların anlamlı bir kısmının hiçbir yama yolu olmayabilir ve tek gerçekçi çözüm onlar için göç olarak kalıyor. Yöneticiler için acil görev ise daha dar: envanteri dört sürümün tamamında yeniden oluşturmak, eski hatlar için ESU kapsamını doğrulamak ve V2 paketlerini yüklemek.