Exchange-säkerhetsuppdateringar för augusti 2026: Pwn2Own-sårbarheten åtgärdad, OWA Light avstängt

Microsoft släppte säkerhetsuppdateringar (SU:er) för Exchange Server den 11 augusti 2026, för fjärde månaden i rad. Uppdateringarna åtgärdar sju sårbarheter. Ingen av dem var offentligt känd i förväg, ingen utnyttjas aktivt enligt nuvarande information, och Microsoft bedömer exploatering av samtliga sju som «Exploitation Less Likely». Det är ändå ingen rutinmässig patchdag, av tre skäl: uppdateringen åtgärdar Exchange-sårbarheten som demonstrerades i hackingtävlingen Pwn2Own, den stänger av OWA Light permanent efter nästan tjugo år, och Exchange-teamet har efteråt förklarat varför den månatliga rytmen tills vidare blir det normala.

Vilka Exchange-versioner uppdateringen finns för

SU:erna finns tillgängliga för följande versioner:

• Exchange Server Subscription Edition (SE) RTM: KB5121573, version 15.2.2562.46; som en reguljärt tillgänglig offentlig uppdatering.
• Exchange Server 2019 CU15: KB5121574, version 15.2.1748.49; endast via Period-2-ESU-programmet.
• Exchange Server 2019 CU14: KB5121575, version 15.2.1544.44; endast via Period 2 ESU.
• Exchange Server 2016 CU23: KB5121576, version 15.1.2507.72; endast via Period 2 ESU.

Situationen är densamma som i juli: Exchange 2016 och 2019 stöds inte längre. SU:erna från maj till oktober 2026 får endast de som är registrerade i Period-2-ESU-programmet. Alla andra förblir opatchade med fjorton öppna, delvis högt rankade sårbarheter; en övergång till Exchange SE kan inte längre vänta. Exchange Online är redan skyddat; i hybridmiljöer måste SU:t ändå installeras på alla Exchange-servrar, även på rena hanteringsservrar och på datorer där endast Exchange Management Tools är installerade.

Det kända problemet med wrapper-meddelanden i delade postlådor i hybridmiljöer kvarstår även med augusti-SU:t; enligt Microsoft är en korrigering planerad för en kommande uppdatering. Det finns åtminstone ett lugnande besked i kommentarsfältet till versionsannonseringen: den som har angett den dokumenterade SettingOverride som workaround behöver inte skapa den på nytt efter installationen av augusti-SU:t. Uppdateringen lämnar override-inställningen orörd, vilket Exchange-teamet bekräftar där.

Översikt över de sju sårbarheterna

Tre av dem förtjänar en närmare titt.

CVE-2026-62913 har månadens högsta värde med CVSS 8.8: en Remote Code Execution som en autentiserad angripare med enkla behörigheter kan utlösa utan någon användarinteraktion. Ett valfritt komprometterat postlådekonto räcker som utgångspunkt; i tider av nätfiske och credential stuffing är «autentiserad» ingen hög tröskel.

CVE-2026-62911 är månadens enda sårbarhet som Microsoft klassar som Critical (Elevation of Privilege, CVSS 8.0). Bakom det sakliga numret döljer sig mer historia än man kan ana: på frågan om Exchange-exploiten som Orange Tsai demonstrerade vid Pwn2Own 2026 nu hade åtgärdats, hänvisar Exchange-teamet i kommentarsfältet till versionsannonseringen just till denna CVE. Tävlingsfyndet är därmed åtgärdat: ytterligare ett skäl att inte låta augusti-SU:t ligga, eftersom Pwn2Own-tekniker vanligtvis publiceras i detalj efter att sekretessfristerna har löpt ut. Det har nu precis skett: ett Proof-of-Concept är offentligt, och BSI rapporterar att omkring 85 procent av On-Premises-servrarna i Tyskland är sårbara. Hur angreppet fungerar tekniskt (MRSProxy utan Channel Binding, NTLM-relä) och vad siffrorna bygger på beskrivs i den utförliga artikeln om CVE-2026-62911.

CVE-2026-62914 (Spoofing, CVSS 7.3) är den direkta anledningen till att OWA Light stängs av, mer om det strax.

De övriga sårbarheterna: CVE-2026-62910 (EoP, 7.2) kräver redan höga behörigheter, CVE-2026-62912 (DoS), CVE-2026-62915 (Security Feature Bypass) och CVE-2026-65813 (EoP) har CVSS 6.5. Detaljerna finns som vanligt i Security Update Guide (filtrera på «Server Software» för Exchange SE respektive «ESU» för 2016/2019).

OWA Light: efter nästan tjugo år är det slut

Vad uppdateringen ändrar

När augusti-SU:t installeras inaktiveras OWA Light permanent: på varje server där uppdateringen (eller en senare) installeras. Den som öppnar Light-gränssnittet hamnar framöver i vanliga Outlook on the web. Avstängningen är en del av själva uppdateringen och kan inte återställas med någon inställning; Microsoft hade meddelat den några veckor tidigare i ett separat blogginlägg.

OWA Light kommer från Exchange 2007-eran: ett avsiktligt enkelt webbgränssnitt som reservlösning för gamla webbläsare och långsamma anslutningar, officiellt deprecated sedan augusti 2024. Motiveringen till att det upphör är säkerhetsdriven: en separat äldre renderingsväg vid sidan av moderna OWA ökar komplexiteten och därmed attackytan; CVE-2026-62914 är ett konkret bevis på detta. Den som har läst juliartikeln minns dessutom: redan CVE-2026-42897-mitigeringen från maj hade gjort OWA Light obrukbart som bieffekt. Gränssnittet var alltså redan på väg att försvinna.

För dem som inte kan patcha: stäng av OWA Light manuellt

Viktigt för alla som (ännu) inte kan installera augusti-SU:t, exempelvis eftersom ESU-aktiveringen saknas: Microsoft rekommenderar uttryckligen att OWA Light i så fall inaktiveras manuellt för att mildra CVE-2026-62914. Det görs via OWA-postlådeprincipen och inloggningssidan:

Get-OwaMailboxPolicy | Set-OwaMailboxPolicy -OWALightEnabled $false
Get-OwaVirtualDirectory | Set-OwaVirtualDirectory -LogonPageLightSelectionEnabled $false

Det första kommandot stänger av Light-versionen för alla postlådor i respektive princip, det andra tar bort alternativet «Använd Light-versionen» från OWA-inloggningssidan. Ändringar i den virtuella OWA-katalogen träder tillförlitligt i kraft först efter en återvinning av OWA-app-poolen respektive en iisreset.

Vad administratörer bör kontrollera nu

Avstängningen är tekniskt trivial, men inte alltid organisatoriskt: OWA Light var den tysta reservlösningen för nischscenarier. Det är nu värt att kontrollera bokmärken och helpdesk-anvisningar som har ?layout=light hårdkodat, kiosk- och terminalenheter med gamla webbläsare samt interna anvisningar för användare som har använt Light-versionen av tillgänglighetsskäl. Moderna Outlook on the web fungerar i alla aktuella webbläsare och har egna tillgänglighetsfunktioner; men den som inte informerar berörda användare i förväg skapar supportärenden.

Varför ett SU nu kommer varje månad och var Exchange SE CU1 blir av

Två dagar efter lanseringen besvarade Exchange-teamet i ett anmärkningsvärt öppet blogginlägg («Where is Exchange SE CU1 anyway?») frågan som många administratörer ställer. Kortversionen: Microsoft använder AI-verktyg i hela koncernen för att hitta sårbarheter i sina egna produkter. Teamen, inklusive Exchange, arbetar för närvarande igenom de rapporterade fynden: validerar, reproducerar, åtgärdar, testar regressioner och levererar varje månad. Sedan maj 2026 har ett Exchange-SU släppts varje månad, och Microsoft säger uttryckligen att detta högre tempo kommer att fortsätta.

Det efterlängtade CU1 för Exchange SE fördröjs just av denna anledning. Ursprungligen utannonserat för första halvåret 2026 och sedan flyttat till det andra, finns det nu inte längre något måldatum. Microsoft vill släppa CU1 först när en månad utan brådskande säkerhetsleverans ligger emellan; ett CU som omedelbart ersätts av ett SU skulle innebära dubbelt uppdateringsarbete för många organisationer. Fram till dess införlivas den månatliga säkerhetsnyttolasten löpande i den interna CU1-versionen.

I praktiken betyder detta två saker. För det första: att vänta på CU1 är ingen strategi, varken för migreringen till SE eller för installationen av SU:erna. För det andra: ett månatligt underhållsfönster för Exchange hör från och med nu fast hemma i driftkalendern, precis som det sedan länge är självklart för Windows-servrar.

Installation och efterarbete

Processen är fortsatt den beprövade: inventera först med Exchange Health Checker vilka servrar som har vilken CU/SU-nivå och om manuella åtgärder återstår. Installera sedan SU:t (om CU-nivån är föråldrad visar Exchange Update Wizard vägen), starta om servern och kontrollera att alla Exchange-tjänster har startat korrekt. Om tjänster står som inaktiverade avbröts installationen; då hjälper den dokumenterade workarounden i Microsofts supportartikel om File Version-felet respektive SetupAssist-skriptet. Avsluta med att köra Health Checker igen.

SU:er är kumulativa: den som hoppade över juli-SU:t kan installera augusti-SU:t direkt. Och för hybridmiljöer gäller det välkända tillägget: om Auth-certifikatet byts efter SU-installationen bör Hybrid Configuration Wizard köras igen.

Ett efterarbete från juli är fortfarande aktuellt: den som fortfarande har CVE-2026-42897-mitigeringen (M2.1.0) aktiv bör ta bort den nu; hur det görs korrekt beskrivs i artikeln om juli-SU:t.

Rekommenderat tillvägagångssätt

Kort sammanfattat: installera augusti-SU:t snarast på alla Exchange-servrar och datorer med Management Tools: Pwn2Own-sårbarheten och RCE:n med 8.8 är skäl nog att inte vänta till nästa patchdag. Den som inte kan patcha direkt: OWA Light kan inaktiveras manuellt som en omedelbar åtgärd mot CVE-2026-62914. Identifiera och informera berörda användargrupper före avstängningen av OWA Light (gamla bokmärken, kioskwebbläsare, tillgänglighetsarbetsflöden). Kör sedan Health Checker, utför återstående efterarbete från juli och planera in ett månatligt Exchange-underhållsfönster, eftersom rytmen fortsätter.