微软已发布 2026 年 8 月 Exchange Server 安全更新。此次更新不只是补几个 CVE：它还会永久禁用 OWA Light 客户端，并再次把 Exchange Server 2016、2019 的支持状态和 ESU 获取问题摆到运维团队面前。对仍在自建邮件系统、混合部署或保留 Exchange 管理工具的企业来说，真正的风险不在于“网页邮箱能不能打开”，而在于服务器是否仍处在可获得安全更新、可被持续维护的版本范围内。
这次更新发生了什么
微软 Exchange 团队公告显示，8 月安全更新适用于 Exchange Server Subscription Edition（SE），以及符合条件的 Exchange Server 2019 CU14/CU15 和 Exchange Server 2016 CU23。2016 和 2019 在 2025 年已经结束常规支持，2026 年 5 月至 10 月发布的相关安全更新，只有加入 Period 2 Extended Security Update（ESU）计划的组织才有资格获取。
公告特别提到 CVE-2026-62914：安装 2026 年 8 月更新或后续更新后，OWA Light 会被永久禁用。暂时无法安装更新的组织，应按照微软的说明先在服务器上禁用 OWA Light，而不是继续让旧入口暴露在公网。这里的“禁用”是临时缓解，不等同于完成补丁修复，后续仍应安排正式升级。
为什么不能只看邮箱页面
Exchange Server 通常包含前端访问、后端邮箱、管理工具、混合部署连接器等多个角色。只检查 Outlook 网页版能否登录，无法证明所有服务器已经完成更新；如果前端代理服务器仍是旧版本，后端已经更新，还可能在邮件迁移（MRS）等场景中出现请求失败。微软公告也记录了 8 月更新后的若干已知问题，包括特定混合环境中的迁移失败、匿名日历发布异常和 Graph API 混合空闲/忙碌信息异常。
混合环境尤其容易产生误判：Exchange Online 本身已经受到云端保护，但本地 Exchange 服务器即使只用于管理，也仍需要安装相应安全更新。若更新后更换了身份验证证书，还需要重新运行 Hybrid Configuration Wizard。换句话说，云端邮箱安全并不能替代对本地控制面和管理面服务器的维护。
哪些环境需要优先排查
第一类是公网开放 OWA、ECP 或其他 Exchange 入口的服务器，尤其是长期没有维护、仍运行 Exchange 2016/2019 的环境。第二类是混合部署：即使邮件主要在 Exchange Online，现场仍可能保留用于管理收件人、目录同步或混合配置的 Exchange 服务器。第三类是存在多台前端和后端服务器、负载均衡或代理链路的环境，单台升级并不代表整个访问路径已经一致。
如果 Exchange 运行在云主机或独立服务器上，也不要把“有备份”误认为“具备修复条件”。例如使用速维云等云服务器承载自建邮件系统时，仍需由管理员负责 Exchange 版本、累计更新、系统快照或备份、访问控制和日志留存。云平台能提供计算与网络资源，但不会自动替代应用层补丁管理。
稳妥的排查顺序
先建立完整资产清单，记录每台 Exchange 服务器的版本、CU、SU、服务器角色、是否公网暴露，以及是否参与混合部署。微软建议使用 Exchange Server Health Checker 检查 CU、SU 和手动操作状态；检查时要覆盖所有 Exchange 服务器，也要覆盖运行 Exchange Management Tools 的服务器和工作站。
随后对照微软 Exchange 更新公告和 Security Update Guide，确认当前版本是否仍在本次更新的适用范围内。不要只根据补丁文件名判断成功，也不要把管理工具机器遗漏。更新前应备份配置和关键数据，确认回滚或恢复方案，并先在测试环境或非核心节点验证；多节点环境要提前规划负载切换和业务窗口。
修复与临时缓解建议
最优先的做法是升级到受支持的 Exchange Server SE，或在符合资格的前提下安装适用于当前 CU 的 2026 年 8 月安全更新。Exchange 安全更新是累积式的：如果运行的是受支持 CU，不需要按月份逐个补齐旧 SU，但必须确认 CU 本身满足更新前提。升级完成后，重新运行 Health Checker，并核对 Exchange 相关服务是否正常启动。
如果暂时无法安装更新，应按照微软官方文档禁用 OWA Light，并尽量收敛公网暴露面、限制管理入口来源、加强多因素认证和管理员账号保护，同时保留访问日志和异常登录记录。不要直接复制来源不明的“一键修复”脚本，也不要在生产环境未经评估就重启全部节点、删除虚拟目录或批量改防火墙规则。涉及服务重载、重启和网络策略调整时，应先备份配置、确认业务影响，并准备回退方案。
更新后要做一轮业务验证：测试 OWA、Outlook、邮件收发、自动发现、管理工具、混合连接和 MRS 迁移；混合环境还要检查 Graph API 相关空闲/忙碌信息。若出现安装错误或服务状态异常，可参考微软的 SetupAssist 和 Exchange 更新故障排查文档，不要把异常服务简单设置为“自动”后就结束排查。
后续应关注什么
这次公告释放出的信号很明确：Exchange 2016/2019 的维护窗口正在收紧，OWA Light 这类旧组件也会被逐步移除。企业应把“是否还能下载补丁”升级为“是否仍处于受支持架构”，尽早评估 Exchange SE 或云迁移路线。对于仍需保留本地服务器的组织，至少应建立按月盘点、补丁测试、更新后验证和异常日志复核的闭环。
本文仅依据微软 Exchange 团队公告、Microsoft Security Update Guide 及相关支持页面整理。具体适用 CU、ESU 资格、已知问题和安装前提可能随公告更新，生产环境操作前应以微软最新官方文档为准。
