Декабрьские обновления безопасности Microsoft Exchange Server (декабрь 2025)

Какие версии Exchange Server получили обновления

Декабрьские обновления безопасности 2025 года относились к локальным версиям Microsoft Exchange Server.

В рассматриваемый период обновления были предназначены для следующих редакций:

Exchange Server 2016;
Exchange Server 2019;
Exchange Server Subscription Edition (SE).

Для каких CU предназначались обновления

Установка Security Update для Exchange всегда должна выполняться с учётом версии установленного Cumulative Update.

Для декабрьского цикла 2025 года в исходном материале рассматривались:

Exchange Server 2016 CU23;
Exchange Server 2019 CU14;
Exchange Server 2019 CU15;
Exchange Server Subscription Edition (SE) RTM.

Для Exchange Server Subscription Edition использовалась соответствующая версия продукта:

Exchange Server Subscription Edition

Exchange Server 2016 CU23 и Exchange Server 2019 CU14/CU15 к этому моменту уже необходимо было рассматривать с учётом действовавшей модели поддержки и программы Extended Security Updates.

Как проверить установленную версию Exchange Server

Перед установкой обновления безопасности полезно определить текущую версию Exchange Server.

Откройте Exchange Management Shell и выполните:

Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersion

Например:

Name                : EX01
Edition             : Enterprise
AdminDisplayVersion : Version 15.2 (Build ...)

По номеру сборки можно определить установленный CU и понять, какое обновление безопасности подходит серверу.

Какие уязвимости закрывали декабрьские обновления

С декабрьскими обновлениями безопасности Exchange Server 2025 года были связаны следующие CVE:

Именно поэтому администраторам локальных серверов Exchange на момент выхода обновлений рекомендовалось не откладывать установку соответствующего SU на поддерживаемых конфигурациях.

Какая дополнительная проблема была исправлена

Помимо исправлений безопасности, в рассматриваемом обновлении была исправлена проблема, связанная с интеграцией Skype for Business и Outlook Web App (OWA).

Проблема могла проявляться после включения функции:

Dedicated Hybrid Application

Таким образом, обновление представляло интерес не только с точки зрения устранения уязвимостей, но и для инфраструктур, использовавших соответствующую интеграцию.

Нужно ли устанавливать все предыдущие SU

Один из частых вопросов при обслуживании Exchange — нужно ли последовательно устанавливать все пропущенные Security Updates.

Для рассматриваемого сценария ответ — нет.

Security Updates Exchange для соответствующего CU являются накопительными с точки зрения исправлений предыдущих SU этого CU. Если сервер находится на подходящей версии CU, обычно устанавливается актуальный для неё Security Update, а не цепочка всех ранее выпущенных SU.

Что делать, если установлен старый CU

Если Exchange Server работает на версии CU, для которой необходимый Security Update не предназначен, просто устанавливать SU от другого CU нельзя.

Общий порядок действий выглядит так:

определить установленную версию Exchange;
проверить поддерживаемый путь обновления;
обновить Exchange до требуемой версии;
установить соответствующий Security Update;
проверить состояние сервера после обновления.

Перед обновлением CU необходимо отдельно проверить системные требования, совместимость операционной системы, .NET и другие требования конкретной версии Exchange.

Extended Protection и декабрьское обновление

Отдельный вопрос касается функции Extended Protection.

Если Extended Protection на сервере уже была включена и инфраструктура соответствовала требованиям Microsoft, Security Update устанавливался в обычном порядке.

При этом Extended Protection не являлась обязательным предварительным условием непосредственно для запуска установки рассматриваемого SU.

То есть отсутствие Extended Protection само по себе не означало, что Security Update нельзя установить.

Однако использование Extended Protection рекомендуется для дополнительной защиты Exchange от определённых сценариев атак, связанных с перехватом и ретрансляцией аутентификации.

В частности, она помогает усилить защиту от:

Authentication Relay;
Man-in-the-Middle (MITM).

Проверяем Exchange через Health Checker

После установки обновлений полезно проверить состояние сервера с помощью официального Exchange Server Health Checker.

У нас уже есть отдельная инструкция по его использованию:

Проверка Exchange Server с помощью Health Checker PowerShell Script.

Health Checker помогает обнаружить проблемы конфигурации, проверить установленную версию Exchange и получить рекомендации по безопасности и состоянию сервера.

Что делать в гибридной конфигурации Exchange Online

Наличие гибридной конфигурации не означает, что локальные серверы Exchange можно перестать обновлять.

Если в инфраструктуре остаётся локальный Exchange Server, на него необходимо устанавливать предназначенные для него обновления безопасности, даже если большая часть почтовых ящиков уже находится в Exchange Online.

Это относится и к сценариям, где локальный Exchange используется преимущественно для управления получателями и гибридной инфраструктурой.

При установке обычного Security Update повторный запуск Hybrid Configuration Wizard (HCW) сам по себе не требуется только из-за факта установки SU.

Нужно ли обновлять Exchange Management Tools

Если Exchange Management Tools установлены отдельно на сервере или рабочей станции администратора, их версию также необходимо учитывать при обслуживании инфраструктуры.

В рамках обновления Exchange важно поддерживать совместимость административных инструментов с серверной частью и устанавливать предназначенные для них обновления в соответствии с рекомендациями Microsoft для конкретного выпуска.

Поэтому после обновления серверов Exchange стоит проверить и компьютеры, на которых отдельно установлены Exchange Management Tools.

Что проверить перед установкой SU

Перед обновлением рабочего Exchange Server я рекомендую выполнить хотя бы базовую проверку.

определить установленный CU и номер сборки;
убедиться, что выбран правильный пакет SU;
проверить актуальные требования Microsoft для конкретного обновления;
проверить состояние Exchange перед обслуживанием;
убедиться в наличии актуальной резервной копии;
проверить свободное место на системном диске;
для DAG проверить состояние копий баз;
запланировать технологическое окно.

Для DAG состояние копий баз можно посмотреть командой:

Get-MailboxDatabaseCopyStatus *

Перед началом работ не должно быть необъяснимых проблем с репликацией или состоянием баз, которые потом можно ошибочно принять за последствия установки обновления.

Что проверить после установки обновления

После установки SU и перезагрузки сервера стоит проверить:

запуск служб Exchange;
доступность OWA и ECP;
почтовый поток;
состояние баз данных;
состояние DAG, если он используется;
журналы событий Windows;
отчёт Exchange Health Checker;
фактически установленную версию Exchange.

Проверить версию после обновления можно снова через:

Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersion

FAQ

Нужно ли сейчас устанавливать именно декабрьское обновление Exchange 2025 года?

Если сервер обслуживается сейчас, необходимо ориентироваться на актуальную версию Exchange и последние применимые обновления. Эта статья описывает декабрьский цикл безопасности 2025 года и сохраняется как справочный материал.

Нужно ли устанавливать предыдущие SU по очереди?

Как правило, нет. Для соответствующего CU устанавливается актуальный применимый Security Update, содержащий исправления предыдущих SU этого CU. При этом необходимо строго учитывать совместимость SU с установленной версией Exchange.

Можно ли установить SU, если Extended Protection отключена?

Для рассматриваемого обновления Extended Protection не являлась обязательным предварительным условием установки SU. При этом сама функция является важным механизмом дополнительной защиты Exchange и должна настраиваться с учётом совместимости инфраструктуры.

Нужно ли обновлять локальный Exchange при гибридной конфигурации?

Да. Если локальный Exchange Server продолжает использоваться, его необходимо обслуживать и устанавливать предназначенные для него обновления независимо от того, что организация также использует Exchange Online.

Нужно ли после SU повторно запускать Hybrid Configuration Wizard?

Само по себе обычное обновление безопасности Exchange не требует повторного запуска HCW. Повторная настройка гибрида нужна только тогда, когда это предусмотрено конкретными изменениями или рекомендациями Microsoft.

Как узнать установленный CU Exchange?

В Exchange Management Shell можно выполнить Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersion, а затем сопоставить номер сборки с таблицей версий Exchange.

Как проверить Exchange после установки обновления?

Проверьте службы, OWA/ECP, почтовый поток, базы данных, состояние DAG и журналы событий. Дополнительно рекомендуется запустить Exchange Server Health Checker и проанализировать его отчёт.

Заключение

Декабрьские обновления безопасности 2025 года были важным этапом обслуживания локальных серверов Microsoft Exchange Server. Они относились к определённым версиям Exchange 2016, Exchange 2019 и Exchange Server Subscription Edition и устраняли выявленные проблемы безопасности.

Главное правило при установке Exchange SU — сначала определить точную версию сервера и убедиться, что пакет обновления предназначен именно для установленного CU. Нельзя рассматривать Security Update отдельно от текущей сборки Exchange и состояния поддержки продукта.

Extended Protection не являлась обязательным условием установки рассматриваемого SU, однако остаётся важным дополнительным механизмом защиты Exchange. После обновления сервер также стоит проверить с помощью Health Checker.

Если вы обслуживаете Exchange Server сейчас, декабрьский SU 2025 года следует рассматривать уже как историческую точку обновления. Для рабочей инфраструктуры необходимо проверить наличие более новых CU/SU и текущее состояние поддержки вашей версии Exchange.

Также смотрите статью Ваш сервер Exchange под угрозой: устаревшие версии больше не защищают от атак.