Microsoft heeft aangekondigd dat IT-beheerders de verouderde Exchange Web Services (EWS) API in Exchange Online weer kunnen inschakelen om problemen met EWS-apps te verhelpen.

EWS is een API waarmee apps toegang kunnen krijgen tot Exchange mailboxitems, zoals e-mails, afspraken en contacten, zowel in Exchange Online als on-premises Exchange-servers.

Diverse apps maken gebruik van deze API, waaronder Outlook desktop-add-ins, oudere versies van Outlook voor Windows, Apple Mail/Agenda op macOS en andere applicaties.

In februari liet het bedrijf weten dat het vanaf 1 oktober 2026 de EWS API standaard zal blokkeren, maar IT-beheerders kunnen via een toestemmingslijst tijdelijk toegang behouden tot de definitieve afsluiting op 1 april 2027. Echter, wanneer EWS is uitgeschakeld, vertonen apps fouten variërend van waarschuwingen dat het EWS-protocol niet beschikbaar is tot herhaaldelijke verzoeken om gebruikersnaam of wachtwoord in te voeren.

Om deze problemen te vermijden en niet-werkende EWS-apps te herstellen, adviseert Microsoft tenant-beheerders om EWS weer in te schakelen in het Microsoft 365-beheercentrum door het vinkje bij “Blokkeer uw gehele organisatie voor het gebruik van EWS” op de Baseline Security Mode-pagina uit te zetten.

Een andere optie is het gebruik van Exchange Online PowerShell om het commando “Set-OrganizationConfig -EWSEnabled $true” uit te voeren, wat EWS binnen 4 uur weer zou moeten inschakelen.

“We bevinden ons nu in de eerste fase van het uitschakelen van EWS, waarbij klanten nog steeds EWS kunnen heractiveren. Heractiveren zal niet meer werken in april 2027,” aldus Microsoft.

“De lange termijn oplossing is het updaten van uw applicaties naar versies die geen gebruik meer maken van EWS. Neem contact op met uw softwareleverancier voor de geüpdatete versie, of pas de code aan als u de applicatie zelf heeft ontwikkeld.”

​Microsoft raadt app-ontwikkelaars aan om over te stappen naar de Microsoft Graph API voordat EWS wordt uitgeschakeld, aangezien deze voor de meeste scenario’s bijna dezelfde functies biedt als EWS.

Het bedrijf voegde toe dat de EWS-uitfaseerprocedure alleen invloed heeft op Microsoft 365 en Exchange Online omgevingen, en dat de API blijft werken in on-premises Exchange Server-installaties.

De aankondiging van de EWS-uitfasering volgde op een waarschuwing uit 2018 dat EWS geen functionaliteitsupdates meer zou ontvangen en Microsofts aankondiging in september 2023 dat het van plan was de EWS API vanaf oktober 2026 uit te schakelen.

In oktober 2021 onthulde Microsoft dat het de 25 minst gebruikte EWS Exchange Online API’s had afgeschaft en de ondersteuning daarvoor in maart 2022 om veiligheidsredenen had verwijderd.

Overzichtsscores voor preventie kunnen verbergen wat er gebeurt na aanvankelijke toegang. Zodra aanvallers geldige inloggegevens gebruiken, daalt de preventie sterk.

Het Blue Report 2026 meet verdedigingstechnieken per techniek over 338 miljoen simulaties in productieomgevingen van klanten.

Ontvang het rapport