Exchange Server Ausfall Oktober 2026: Windows-Updates schuld

Von /

Seit Mittwochnacht melden Exchange-Admins in Deutschland dasselbe Bild: Rund 24 Stunden nach dem Oktober-Patchday 2026 hängt OWA, Outlook verliert die Verbindung, Mails bleiben in der Queue. Die Datenbanken zeigen sich im Admin Center weiter als gemountet, aber der Informationsspeicher antwortet nicht mehr. Ein Neustart hilft, zumindest bis zum nächsten Tag.

Günter Born hat das am 15. Oktober unter dem Titel „Achtung: Exchange Server Okt. 2026-SU führen zu Ausfällen“ aufgegriffen. Der Titel war zu dem Zeitpunkt die naheliegende Lesart, aber er stimmt so nicht mehr. Noch am selben Nachmittag hat Microsoft im Exchange Team Blog bestätigt, dass die Windows-Server-Updates vom 13. Oktober das Problem auslösen, und zwar unabhängig davon, ob das Exchange-Sicherheitsupdate installiert ist.

Ich habe die Quellenlage für diesen Artikel direkt bei Microsoft nachgezogen. Hier steht, was belegt ist, was noch offen ist, und was ich daraus für die nächsten Tage ableite.

Was Microsoft zum Exchange Server Ausfall sagt

Microsoft hat den Techcommunity-Beitrag Released: October 2026 Exchange Server Security Updates am 15. Oktober 2026 um einen gelb hinterlegten Hinweis ergänzt (Seitenstand: Version 5.0). Darin nennt das Exchange-Team drei Windows-Updates als Auslöser: KB5126646 für Windows Server 2025, KB5126655 für Windows Server 2022 und KB5126651 für Windows Server 2019. Symptome laut Microsoft: OWA fällt mit der Fehlermeldung MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142) aus, im Application Log steht die Event ID 1006, und die Mail-Warteschlangen wachsen.

Der entscheidende Satz im Hinweis lautet: „Installation of October 2026 Exchange updates is not required for issues to occur.“ Microsoft untersucht den Fall nach eigener Aussage zusammen mit den Windows-Kollegen. Einen Workaround, einen Zeitplan für einen Fix oder eine Einschätzung, ob eine Deinstallation der Windows-Updates sinnvoll ist, gibt es in dem Hinweis nicht.

Auffällig ist, wo der Hinweis nicht steht. Der Support-Artikel zu KB5126655 für Windows Server 2022 listet unter „Bekannte Probleme“ weiterhin nur den WSUS-Fehlerdetail-Bug. Auch die Release-Health-Seiten für Windows Server 2022 und Windows Server 2025 kennen am 15. Oktober keinen Eintrag zu Exchange. Wer sich nur über die Windows-Kanäle informiert, erfährt von dem Problem bisher nichts. Das ist aus meiner Sicht der eigentliche Mangel an der Kommunikation: Die Ursache liegt bei Windows, die Warnung steht beim Exchange-Team.

Wie der Verdacht auf das Exchange-Update fiel

Die Verwechslung ist nachvollziehbar. Windows-Updates und Exchange-SU erscheinen am selben Dienstag und landen meist im selben Wartungsfenster. Als am Donnerstagmorgen die ersten Server standen, war das Exchange-Update der sichtbarste Neuzugang.

Frank Zöchling hat auf Frankysweb zunächst ebenfalls das Exchange-Update KB5128895 als Ursache genannt und den Artikel noch am 15. Oktober korrigiert. Den Ausschlag gaben die Kommentare: Mehrere Admins berichten von Exchange SE mit installiertem SU11, aber ohne Windows-Oktober-Updates, auf denen alles läuft. Umgekehrt beschreibt ein Kommentator den Ausfall auf einem Server mit OWA-Version 15.2.2562.53, also noch dem September-SU v2, bei dem nur die Windows-Updates neu waren. Zöchling selbst betreibt seine SE-Server nach eigener Angabe mit SU11 ohne Windows-Oktober-Updates und ist nicht betroffen.

Bei Born bestätigen Leser das gleiche Muster. Ein Kommentator nennt für seinen Ausfall ausdrücklich KB5126655 und das .NET-Update KB5128928, beide 24 bis 30 Stunden vor dem Stillstand installiert, das Exchange-Oktober-SU fehlte. Born hat seinen Artikel entsprechend ergänzt, nachdem ihm beim Überarbeiten der neue Microsoft-Hinweis aufgefallen war.

Offen bleibt, ob das kumulative Windows-Update allein reicht oder ob die am selben Tag erschienenen .NET-Framework-Updates eine Rolle spielen. Zöchling weist auf diese Unklarheit hin, Microsoft nennt nur die drei Windows-CUs. Belegt ist aus meiner Sicht derzeit nur: Windows-Oktober-Updates drauf, Problem nach etwa einem Tag; Windows-Oktober-Updates nicht drauf, kein Problem.

Das Exchange-Update KB5128895 ist nicht das Problem, aber nötig

Dass das Sicherheitsupdate selbst unschuldig ist, ändert nichts an seiner Dringlichkeit. Das Oktober-2026-SU für Exchange SE (KB5128895), intern SU11, schließt sechs Schwachstellen: eine Remote-Code-Execution-Lücke, vier Rechteausweitungen (CVE-2026-77910, CVE-2026-87692, CVE-2026-87695, CVE-2026-87696) und eine Spoofing-Lücke (CVE-2026-70279). Es ersetzt das September-SU v2 (KB5121608) und behebt nebenbei zwei bekannte Fehler: den HTTP-500-Fehler bei veröffentlichten Kalendern (.ics) und den ContentEngine-Deadlock durch fehlende koreanische WordBreaker-Dateien.

Die RCE-Lücke CVE-2026-70571 stuft Microsoft als kritisch ein, CVSS 3.1 Basis-Score 8.1. Laut MSRC kann ein nicht authentifizierter Angreifer eine präparierte E-Mail an den Server schicken und darüber einen internen Konvertierungsprozess auslösen, der Code auf dem Server ausführt. Keine Benutzerinteraktion nötig. Die Angriffskomplexität ist mit „hoch“ bewertet, die Ausnutzung gilt Microsoft als „wahrscheinlicher“, bekannt ausgenutzt ist sie nach Stand vom 13. Oktober nicht. Für einen Mailserver, der per Definition fremde Mails annimmt, ist das eine Lücke, die ich nicht wochenlang offen lassen würde.

Hinzu kommt die Lage für ältere Versionen. Das Oktober-2026-SU ist laut Exchange-Team das letzte Update, das Teilnehmer des Period-2-ESU-Programms für Exchange 2016 und 2019 erhalten. Ab November gibt es Updates nur noch für die Subscription Edition. Microsoft schreibt dazu ausdrücklich, dass künftige CVE-Veröffentlichungen Exchange 2016 und 2019 nicht mehr nennen werden, obwohl die Versionen weiterhin betroffen sein können, weil Microsoft sie nicht mehr auf Schwachstellen testet. Wer noch auf 2016 oder 2019 steht, hat mit diesem SU das letzte Sicherheitsnetz in der Hand.

Was gerade in den Logs steht

Die Kommentare bei Frankysweb und Born geben ein recht einheitliches Bild, das sich mit Microsofts Beschreibung deckt. OWA liefert eine MailboxOfflineException, dahinter steckt die MapiExceptionMdbOffline mit ec=1142. Der Mailbox Replication Service meldet, dass er Jobs in einer Datenbank nicht verarbeiten kann. Dienste wie der IMAP4-Back-End stürzen ab, Anwendungspools werfen Kommunikationsfehler, Health-Mailbox-Cmdlets scheitern.

Mehrere Admins berichten zusätzlich von Veeam-Fehlern mit dem Exchange-VSS-Writer im Zustand VSS_WS_FAILED_AT_BACKUP_COMPLETE. Ob das Backup den Ausfall auslöst oder nur das erste ist, was in der Nacht gegen die kranke Datenbank läuft, ist aus den Berichten nicht zu entscheiden. Ich halte Letzteres für wahrscheinlicher, weil die Zeitangaben (ca. 24 Stunden nach Installation, oft kurz nach Mitternacht) zu einem Timer oder Tageswechsel im Store passen und nicht zu Backup-Zeitplänen, die bei jedem anders liegen. Das ist aber meine Vermutung, nicht Microsofts Analyse.

Ein Neustart bringt die Server zurück. Ob der Ausfall nach weiteren 24 Stunden wiederkommt, war am Nachmittag des 15. Oktober noch unklar, der erste betroffene Zyklus ist ja gerade erst durch. Ein Leser bei Frankysweb lässt deshalb ein Skript alle zwölf Stunden die Exchange-Dienste neu starten; ein anderer bei Born plant für sein Standalone-System einen Neustart innerhalb des 24-Stunden-Fensters.

Was ich jetzt tun würde

Für Server, die die Windows-Oktober-Updates noch nicht haben: Die Windows-CUs KB5126646, KB5126655 und KB5126651 auf Exchange-Servern zurückhalten, bis Microsoft einen Fix oder zumindest eine Mitigation nennt. Das ist eine Abwägung, denn die Oktober-CUs schließen ebenfalls kritische Lücken. Aber ein Mailserver, der täglich stehen bleibt, ist auch ein Sicherheitsproblem, und das Exchange-SU lässt sich unabhängig davon installieren.

Für das Exchange-SU KB5128895 selbst sehe ich keinen Grund zu warten. Die Kombination „SU11 drauf, Windows-Oktober-CU nicht drauf“ ist nach den vorliegenden Berichten stabil. Nach der Installation wie immer den Exchange Health Checker laufen lassen.

Für Server, die bereits betroffen sind: Neustart als Erste Hilfe, dann entscheiden. Eine Deinstallation des Windows-CUs ist technisch möglich, öffnet aber die Windows-Lücken wieder. Ein geplanter Neustart im 24-Stunden-Rhythmus ist eine Krücke, überbrückt aber ein paar Tage, bis klar ist, was Microsoft liefert. Wer eine DAG betreibt, hat es leichter: Ein Member nach dem anderen patchen, Datenbanken verschieben, 36 Stunden beobachten.

Und für Exchange 2016 und 2019: Dieses SU ist das letzte. Wer es jetzt wegen der Windows-Probleme auslässt, bekommt keine zweite Gelegenheit. Hier würde ich das Exchange-SU installieren und die Windows-CUs separat behandeln.

Fazit

Die Schlagzeile vom Donnerstagmittag hatte den falschen Täter. Nicht das Exchange-Sicherheitsupdate legt die Server lahm, sondern die kumulativen Windows-Server-Updates vom 13. Oktober, und zwar auf 2019, 2022 und 2025. Microsoft hat das noch am selben Tag im Exchange Team Blog bestätigt, aber bisher weder einen Workaround veröffentlicht noch das Problem in den Windows-Release-Notes nachgetragen.

Wer ein Wartungsfenster vor sich hat: Exchange-SU installieren, Windows-Oktober-CU auf dem Exchange-Server zurückstellen, Techcommunity-Beitrag beobachten. Wer schon mittendrin steckt: Neustart, 24-Stunden-Timer stellen, und bitte in den Kommentaren bei Born oder Zöchling melden, ob der Ausfall am zweiten Tag wiederkommt. Diese Information fehlt gerade allen.

Quellen:

Nach oben scrollen