微软在 2026 年 7 月 Patch Tuesday 期间为 Exchange Server 2016 和 2019 推送了 Period 2 扩展安全更新（ESU）。本次更新修复了严重漏洞 CVE-2026-42897，同时包含针对 IT 管理员的关键操作指引，涉及此前临时缓解措施的回滚操作。
更新覆盖范围与获取条件
本次安全更新（SU）面向 Exchange Server Subscription Edition（SE）、2016 和 2019 三个版本推送。其中，Exchange Server 2016 和 2019 的更新仅面向已购买 Period 2 ESU 的商业客户开放。微软强调，这些安全更新仅在发现需要修补的安全漏洞时才会提供，付费用户可能数月无法收到任何更新。
CVE-2026-42897 漏洞修复
本次更新包含对 CVE-2026-42897 漏洞的实质性修复，该漏洞严重程度为“严重（Critical）”。此前微软仅针对该漏洞发布了临时缓解措施，未提供完整补丁。安装最新安全更新后，IT 管理员需要回滚此前部署的临时缓解措施。
部署建议与混合环境
微软强烈建议 IT 管理员在所有 Exchange Server 部署环境中应用此次安全更新，包括混合环境（Hybrid）。Exchange Online 配置无需安装此更新。对于因特殊原因无法更新的 Exchange Server 部署，将继续面临与临时缓解措施相关的已知问题。
已知问题与更新机制
此次安全更新本身也存在至少一个已知问题，具体细节已在微软支持文档中公布。安全更新采用累积更新机制，安装 2026 年 7 月版本将自动包含此前的所有修复内容。由于 Period 2 ESU 采用付费订阅模式，更新文件未公开发布，仅向付费客户私有提供。
via Neowin
