Exchange Server SE : mise à jour de sécurité d'octobre 2026 (SU11, KB5128895), exécution de code à distance corrigée

Cette mise à jour fait suite à la version 2 de septembre (CVE-2026-96940) et au problème Windows / Exchange d'octobre déjà décrit sur ServerNews.

Qui est concerné ?

Les serveurs Exchange sur site : Subscription Edition (RTM), et Exchange 2019 CU15 pour les clients du programme ESU. Exchange Online n'est pas concerné. Les serveurs hybrides et les postes d'administration avec les Exchange Management Tools sont à mettre à jour aussi.

Risque

Six CVE, d'après un compte rendu d'un tiers de la mise à jour (l'avis Microsoft original n'a pas pu être lu) : CVE-2026-70571 (exécution de code à distance), CVE-2026-77910, -87692, -87695 et -87696 (élévation de privilèges), CVE-2026-70279 (usurpation d'identité). Les scores CVSS et l'éventuelle exploitation ne sont pas confirmés : à vérifier sur le guide MSRC avant de classer l'urgence. Au 26/10, aucune de ces CVE n'est dans le catalogue CISA KEV.

Corriger

Installer KB5128895 (Exchange SE). Prérequis : aucun redémarrage en attente ; lancer l'installation depuis une invite de commandes en administrateur ; exécuter ensuite le script HealthChecker. Correctifs signalés : erreur HTTP 500 sur les calendriers .ics publiés, blocage de ContentEngine lié aux fichiers WordBreaker coréens.

Contournement

Aucun contournement n'est documenté dans les sources lues. Réduire l'exposition (OWA, ECP) en attendant l'installation.

Vérifier

Get-ExchangeServer | Format-List Name,AdminDisplayVersion
Get-Command Exsetup.exe | ForEach-Object { $_.FileVersionInfo.ProductVersion }

Voir aussi le dossier Exchange de ServerNews.