Merhaba

Microsoft, 13 Ekim 2026 tarihinde Exchange Server için Ekim 2026 güvenlik güncellemelerini (Security Update, SU) yayımladı. Bu paket sıradan bir aylık yama değil: Exchange Server 2016 ve 2019 için Extended Security Update (ESU) programı kapsamında yayımlanan son güvenlik güncellemesi. Microsoft, bu tarihten sonra 2016 ve 2019 sürümlerini yeni açıklar için test etmeyeceğini ve yeni SU yayımlamayacağını belirtiyor.

Bu yazıda hangi sürüm için hangi KB’nin çıktığını, giderilen açıkları, kurulum adımlarını ve Exchange SE’ye geçiş yolunu bir arada topladım.

Kısa Özet

• Exchange SE için SU11 (KB5128895, build 15.2.2562.56) herkese açık. Exchange 2019 CU14 / CU15 ve Exchange 2016 CU23 paketleri yalnızca Period 2 ESU kaydı olan kurumlar için.
• Pakette 6 CVE kapatılıyor. Bunlardan biri Critical seviyesinde uzaktan kod çalıştırma açığı (CVE-2026-70571).
• İki işlevsel sorun da düzeltiliyor: yayımlanmış takvim .ics erişiminde HTTP 500 hatası ve ContentEngine deadlock.
• ESU programı Ekim 2026 sonunda bitiyor. Üçüncü bir dönem yok.
• Exchange 2019 CU14 / CU15 için SE’ye yerinde yükseltme mümkün. Exchange 2016 için legacy migration gerekiyor.

Hangi Sürüm İçin Hangi Güncelleme

Dikkat edilecek üç nokta:

• Güvenlik güncellemeleri Cumulative Update seviyesine özeldir. Exchange 2019 CU15 için çıkan SU, CU14 üzerine kurulamaz.
• SU paketleri kümülatiftir. Önceki SU’ları sırayla kurmanız gerekmez, CU seviyeniz uygunsa doğrudan en güncel SU’yu kurabilirsiniz.
• Yalnızca yönetim amacıyla kullanılan Exchange sunucuları ile Exchange Management Tools kurulu sunucu ve istemciler de güncelleme kapsamında.

Giderilen Güvenlik Açıkları

Tabloda her açığın CVSS (Common Vulnerability Scoring System) puanı Base / Temporal olarak verilmiştir.

CVE-2026-70571, ağ üzerinden kimlik doğrulaması olmayan bir saldırganın kod çalıştırmasına izin veren stack-based buffer overflow olarak tanımlanıyor. CVE-2026-70279 ise web sayfası üretiminde girdinin yetersiz temizlenmesinden XSS (Cross-Site Scripting) kaynaklanan bir spoofing açığı. Base skoru 9.3 ile listenin en yüksek skoru bu açığa ait, ancak önem derecesi Important olarak işaretlenmiş.

Exchange Online müşterileri bu açıklara karşı zaten korunuyor. Güncelleme ihtiyacı, hybrid ortamlardaki on-premises Exchange sunucuları için geçerli.

Düzeltilen Sorunlar

• Yayımlanmış takvim (.ics) bağlantısına erişen takvim uygulamalarına HTTP 500 hatası dönmesi
• Eksik Korean WordBreaker rule files nedeniyle oluşan ContentEngine deadlock sorunu

Zaman Çizelgesi

Period 2 ESU satın alma seçeneği sınırlı bir süre daha açık kalacak, ancak bu satın alma sizi yalnızca Ekim 2026 SU seviyesine getirir. Yeni bir güncelleme hakkı doğurmaz.

Kurulum Öncesi Kontrol Listesi

1. Envanter ve durum tespiti: Exchange Server Health Checker betiğini çalıştırın. Betik mevcut CU ve SU seviyesini, eksik güncellemeleri ve gerekli manuel işlemleri raporlar.
2. CU seviyesini doğrulayın: SU, CU’ya özel olduğu için sunucunuzun CU seviyesine uygun paketi indirin. Exchange 2019 için CU14 veya CU15, Exchange 2016 için CU23 gerekir.
3. ESU kaydını kontrol edin: Exchange 2016 ve 2019 paketleri yalnızca Period 2 ESU kaydı olan kurumlara sunuluyor.
4. Test ve yedek: Güvenlik güncellemelerini düzenli bakım döngüsünü beklemeden devreye almak, Exchange topluluğunda yaygın bir öneri. Yine de mümkünse önce bir test ortamında denemek iyi bir pratik.
5. Management Tools: Yalnızca yönetim amacıyla kullanılan sunucuları ve Exchange Management Tools kurulu istemcileri unutmayın.

Health Checker’ı indirdiğiniz klasörde

.\HealthChecker.ps1

Mevcut sürüm ve build bilgisi

Mevcut sürüm ve build bilgisi

Kurulum ve Doğrulama

Paketi yönetici yetkisiyle çalıştırın. Kurulum bittikten sonra sunucuyu yeniden başlatın ve Exchange servislerinin doğru şekilde başladığını doğrulayın. Servislerin Disabled durumda kalması, kurulum sürecinin yarıda kesilmiş olabileceğine işaret eder.

Disabled kalmış Exchange servisi var mı?

Get-Service MSExchange* | Where-Object { $_.StartType -eq 'Disabled' }

Kurulum hatası alırsanız Microsoft’un SetupAssist aracı ve “failed installation” onarım yönergeleri kullanılabilir. Kurulum sonrasında Health Checker’ı bir kez daha çalıştırarak build numarasını ve açık kalan manuel işlem olup olmadığını kontrol edin.

Hybrid ortamlarda ek bir not var: SU kurulumundan sonra Auth certificate değiştirilirse Hybrid Configuration Wizard’ın (HCW) yeniden çalıştırılması gerekir.

31 Ekim Sonrasında Ne Olacak

• Exchange 2016 ve 2019 sunucuları çalışmaya devam eder, ancak yeni güvenlik açıkları kalıcı olarak yamasız kalır.
• Microsoft, Ekim sonrası duyurularında ve MSRC (Microsoft Security Response Center) CVE kayıtlarında bu sürümleri artık belirtmeyecek. Bu, sürümlerin yeni açıklardan etkilenmediği anlamına gelmez. Sadece test edilmeyecekler.
• Period 2 ESU kaydınız olması bu tarihi uzatmaz.

Sonuç olarak son SU’yu kurmak gerekli, ama yeterli değil. Bu paket bir geçiş tarihi değil, geçiş için kalan son güvenli pencere.

Exchange SE’ye Geçiş Yolu

Exchange 2019 kullanıyorsanız: Exchange SE, Exchange 2019 CU14 veya CU15 üzerinden yerinde yükseltmeyi (in-place upgrade) destekliyor. Microsoft bu işlemi bir Cumulative Update kurmaya benzetiyor. CU13 veya daha eski bir sürümdeyseniz önce CU15’e çıkmanız, sonra SE’ye yükseltmeniz gerekiyor.

Exchange 2016 kullanıyorsanız: Sunucu yerinde SE’ye dönüştürülemez. Legacy migration gerekir: yeni sunucular kurulur, posta kutuları ve kaynaklar taşınır. Microsoft doğrudan SE’ye geçişi de, önce Exchange 2019’u devreye alıp sonra SE’ye yükseltmeyi de seçenek olarak sunuyor. Hangisinin uygun olduğu coexistence gereksinimlerine, donanıma ve işletim sistemi sürümüne bağlı.

Exchange Online: Microsoft, SE’nin yanında Exchange Online’a geçişi de alternatif olarak öneriyor. Hybrid ortam kullanıyorsanız ve on-premises sunucuyu tamamen kapatmak mümkünse bu yol da değerlendirilebilir.

Sonuç

Ekim 2026 SU’ları, Exchange 2016 ve 2019 için yazılmış son güvenlik güncellemeleri. Önceliğiniz önce bu paketi kurup açığı kapatmak, hemen ardından Exchange SE veya Exchange Online geçiş planını netleştirmek olmalı. Takvimi 31 Ekim’e göre değil, bir sonraki kritik açık geldiğinde sunucunuzun yamasız kalacağı gerçeğine göre kurun.

Kısaltmalar