Microsoft heeft negen kwetsbaarheden in Exchange Server gedicht. De updates verschenen op 10 november 2026 en maken deel uit van Patch Tuesday. Wie on‑prem Exchange draait, moet de nieuwste Security Update (SU) installeren. Exchange Online is al beschermd, maar beheerstations en eventuele on‑prem servers moeten wél worden bijgewerkt. (techcommunity.microsoft.com)

Wat is er gefixt

• CVE-2026-118149 – Uitvoeren van willekeurige code (CVSS 8,8). (bleepingcomputer.com)
• CVE-2026-118150 – Verhoogde rechten (CVSS 8,8). (vulners.com)
• CVE-2026-118151 – Verhoogde rechten (CVSS 7,2). (db.gcve.eu)
• CVE-2026-118152 – Voordoen als andere gebruiker (CVSS 6,5). (db.gcve.eu)
• CVE-2026-118153 – Denial‑of‑Service (CVSS 7,5). (rapid7.com)
• CVE-2026-118154 – Verhoogde rechten (CVSS 8,8). (rapid7.com)
• CVE-2026-118157 – Verhoogde rechten (CVSS 7,2). (db.gcve.eu)
• CVE-2026-118207 – Uitvoeren van willekeurige code (CVSS 8,8). (it.tenable.com)
• CVE-2026-118208 – Voordoen als andere gebruiker (CVSS 7,1). (vulners.com)

Daarom is dit belangrijk

• De fixes richten zich op drie scenario’s die aanvallers graag misbruiken: je voordoen als een andere gebruiker, je rechten verhogen, en op afstand code uitvoeren op de server. Precies dat cocktailtje wordt vaak ingezet om e‑mail te lezen, regels te manipuleren of malware lateraal te verspreiden. (bleepingcomputer.com)
• De updates vallen in een uitzonderlijk grote Patch Tuesday: Microsoft pakte deze maand in totaal 1.235 kwetsbaarheden aan. Dat vergroot de kans dat aanvallers zich juist op ongepatchte systemen richten. (bleepingcomputer.com)

Belangrijke context voor beheerders

• Alleen Exchange Server Subscription Edition (SE) krijgt nog security‑updates. Exchange 2016 en 2019 zijn per oktober 2026 buiten (ESU-)support. Microsoft test die versies niet meer op kwetsbaarheden en raadt een upgrade met klem aan. (techcommunity.microsoft.com)
• Had je in oktober 2026 stabiliteitsproblemen na Windows Server‑updates? Microsoft meldt dat installatie van de Windows Server‑updates van november 2026 dit oplost; volgorde ten opzichte van de Exchange‑SU maakt niet uit. Een eventuele tijdelijke register‑workaround mag blijven staan, maar is niet meer nodig na de november‑updates. (techcommunity.microsoft.com)

Aanpak: zo pak je het slim aan

• Patch eerst de servers die direct aan internet hangen (OWA/ECP/EWS). Plan daarna de rest van je DAG of farm. Herstart na installatie en controleer of alle Exchange‑services weer draaien. (techcommunity.microsoft.com)
• Draai de Exchange Server Health Checker en SetupAssist om versies, bekende issues en nabehandeling te controleren. (techcommunity.microsoft.com)
• Schakel waar mogelijk verouderde protocollen en legacy‑auth uit, publiceer Exchange achter een reverse proxy en monitor je logs nauwgezet op verdachte mailboxregels of aanmeldingen. Dit zijn bewezen hardening‑maatregelen voor on‑prem Exchange. (nsa.gov)

Tot slot

• Gebruik je nog Exchange 2016/2019? Reken die omgevingen als blijvend kwetsbaar en plan versneld een migratie naar Exchange SE of Microsoft 365. Wachten verhoogt je risico en verlaagt je supportopties bij incidenten. (techcommunity.microsoft.com)

Praktisch en meteen doen:

• Installeer de Exchange‑SU van 10 november 2026.
• Installeer ook de Windows Server‑updates van november 2026 als je de oktober‑patches draaide.
• Valideer met Health Checker, voer een herstart uit en monitor actief.

Met deze stappen verlaag je de kans dat een aanvaller via Exchange binnenkomt, zich voordoet als een collega, of je omgeving overneemt.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.