Windows-Server-Update im Oktober 2026 kann Exchange-Mailbetrieb lahmlegen

Ein regulärer Windows-Server-Patch kann im Oktober 2026 den Exchange-Betrieb stören – nicht weil er fehlerhaft ist, sondern weil er eine neue, enge Grenze im internen Verbindungsmanagement setzt. Wer sein Patchfenster wie gewohnt abarbeitet und nur kurz testet, kann Stunden oder Tage später mit blockierten Postfächern und ausbleibendem Mailversand dastehen.

Das Wichtigste in Kürze

• Microsoft bestätigte am 16. Oktober 2026, dass Windows-Server-Updates vom Oktober Exchange-Server destabilisieren können – unabhängig davon, ob das Exchange-Sicherheitsupdate installiert wurde.
• Ursache ist eine neue Standardbegrenzung von 512 gleichzeitigen Endpoint-Lookup-Aufrufen im RPC Endpoint Mapper.
• Die Symptome reichen von fehlgeschlagenen OWA-Anmeldungen über blockierten Mailversand bis zu gestörter DAG-Replikation – oft zeitversetzt nach dem Neustart.
• Microsoft rät von einer Deinstallation der Windows-Updates ab und nennt stattdessen eine temporäre Registry-Gegenmaßnahme.
• Betroffen sein können Exchange-Server auf Windows Server 2016, 2019, 2022 und 2025.

Ein Patch ohne Exchange-Bezug legt den Mailbetrieb lahm

Am 16. Oktober 2026 ergänzte Microsoft einen Hinweis, wonach die Windows-Server-Sicherheitsupdates vom Oktober auf bestimmten Exchange-Servern zu Betriebsproblemen führen können (Microsoft TechCommunity). Nach der Installation können laut Microsoft OWA-Anmeldungen fehlschlagen, E-Mails nicht mehr versendet werden und der Zugriff auf Postfächer während der Replikation gestört sein.

Der entscheidende Punkt: Das Problem hängt nicht am Exchange-Sicherheitsupdate selbst. Es reicht, dass ein Exchange-Server auf einem der betroffenen Windows-Server-Systeme läuft – auch ohne dass das aktuelle Exchange-Update installiert wurde. Das macht die Meldung relevanter, als die Einordnung „Exchange-Update“ vermuten lässt: Wer im normalen Monatsrhythmus nur die Windows-Updates einspielt, kann ebenso betroffen sein wie reine Exchange-Patcher.

Warum der Fehler erst Stunden später sichtbar wird

Ursache ist laut Microsoft eine neue Standardbegrenzung im RPC Endpoint Mapper, der eingehende Verbindungsanfragen an die richtigen Exchange-Dienste weiterleitet. Seit den Oktober-Updates sind dort nur noch 512 gleichzeitige Endpoint-Lookup-Aufrufe zulässig. Bei stark ausgelasteten Exchange-Servern kann dieser Wert im Lauf des Tages ausgeschöpft werden – nicht sofort nach dem Patchen, sondern mit Verzögerung, sobald genug RPC-Anfragen zusammenkommen.

In der Praxis äußert sich das laut technischen Beschreibungen unter anderem als Fehler MapiExceptionMdbOffline mit dem Code ec=1142, als wachsende Mailwarteschlangen, als nicht erreichbares OWA oder als ausbleibende DAG-Replikation zwischen Exchange-Servern im selben Verbund (Hintergrundanalyse von Rafael Pfister). Ein Neustart kann die Situation kurzfristig entspannen, weil angesammelte RPC-Kontexte zurückgesetzt werden – Microsoft beschreibt das aber nicht als dauerhafte Lösung. Wer direkt nach dem Patchen nur kurz testet und die Sache dann abhakt, übersieht das Risiko: Der Fehler kann erst unter zusätzlicher Last auftreten, etwa am nächsten Werktag mit vollem Mailaufkommen.

Was jetzt zu tun ist:

• Heute: Prüfen, ob Exchange-Server im Unternehmen auf Windows Server 2016, 2019, 2022 oder 2025 mit den Oktober-Updates laufen, und Monitoring für OWA-Anmeldungen, Mailwarteschlangen, Postfachzugriff und DAG-Replikation verschärfen.
• Diese Woche: Die von Microsoft beschriebene Registry-Gegenmaßnahme zum Erhöhen der Endpoint-Lookup-Grenze zunächst in einer Testumgebung oder an einem unkritischen DAG-Mitglied erproben, nur nach Change-Freigabe und mit dokumentiertem Rückfallplan.
• Mittelfristig: Betroffene Server gestaffelt bearbeiten, jeden Schritt mit erneuter Funktionsprüfung begleiten und die Windows-Updates nicht deinstallieren, da sie enthaltene Sicherheitskorrekturen sonst entfallen.

Außerdem wichtig in dieser Woche

Letzte reguläre Sicherheitsupdates für Exchange 2016 und 2019 Microsoft veröffentlichte am 13. Oktober 2026 die Oktober-Sicherheitsupdates für Exchange Server Subscription Edition, Exchange 2019 und Exchange 2016 (Microsoft TechCommunity). Für Exchange 2016 und 2019 ist das laut Microsoft der letzte Monat, in dem Teilnehmer des Period-2-ESU-Programms neue Sicherheitsupdates erhalten; ab November sollen nur noch Updates für die Subscription Edition erscheinen. Unternehmen mit lokalem Exchange 2016 oder 2019 sollten den ESU-Status und den eigenen Bestand prüfen und zeitnah eine Migration auf Exchange Server Subscription Edition oder Exchange Online einplanen, da sie sonst ohne regulären Schutz vor neuen Schwachstellen dastehen.

BSI warnt vor kritischer PHP-Schwachstelle Das BSI stufte im Oktober 2026 eine PHP-Schwachstelle mit Warnstufe 3 (Orange) ein und forderte Betreiber von Internetangeboten auf, das am 21. Oktober 2026 veröffentlichte Sicherheitsupdate umgehend einzuspielen (rbb24). Wer kurzfristig nicht patchen kann, soll den Webserver laut BSI vorübergehend vom Internet trennen. Betroffen sein können PHP-basierte Websites, Onlineshops und Content-Management-Systeme wie WordPress – also ein Großteil der öffentlich erreichbaren Webauftritte mittelständischer Unternehmen. Handlungsschritt: PHP-Versionen und exponierte Webanwendungen inventarisieren, Patch sofort einspielen oder betroffene Systeme abschotten und anschließend auf Kompromittierungsindikatoren prüfen.

Einordnung aus Sicht von jalotiqo

Wir halten das Exchange-Problem für unterschätzt, weil es als reines „Exchange-Thema“ eingeordnet wird, obwohl der Auslöser ein gewöhnlicher Windows-Server-Patch ist, den viele Teams ohne besondere Prüfung durchwinken. Der typische Denkfehler ist, nach dem Patchen nur eine kurze Funktionsprobe zu machen und dann von Stabilität auszugehen – genau das greift hier zu kurz, weil der Fehler erst unter Last und zeitversetzt auftritt. An Stelle einer IT-Leitung würden wir zuerst das Monitoring für OWA, Warteschlangen und DAG-Replikation über mindestens einen vollen Geschäftstag nach dem Patchen scharf stellen, bevor wir die Registry-Gegenmaßnahme überhaupt erwägen. Bewusst nicht tun würden wir: das Windows-Update deinstallieren oder die Registry-Änderung ungetestet auf alle DAG-Mitglieder gleichzeitig ausrollen – beides erhöht das Risiko eines unkontrollierten Komplettausfalls. Wer solche Patch-Abhängigkeiten und ihre Testergebnisse ohnehin über mehrere Werkzeuge hinweg dokumentieren muss, profitiert davon, Change, Test und Monitoring-Befund an einem Ort nachvollziehbar zu halten statt in getrennten Listen – dafür ist jalotiqo ONE ausgelegt.

Quellen

1. Microsoft TechCommunity: Exchange servers may become unstable after installation of October 2026 Windows updates
2. Rafael Pfister: Exchange outages after the October 2026 Windows Server updates
3. Microsoft TechCommunity: Released October 2026 Exchange Server Security Updates
4. rbb24: IT-Sicherheitsbehörde BSI – kritische Schwachstelle in Webanwendungen