مایکروسافت روز ۱۳ اکتبر ۲۰۲۶ بهروزرسانی امنیتی‌ای را منتشر کرد که به گفتهٔ خودش آخرین بهروزرسانی Exchange Server 2016 و 2019 است. سه روز بعد تیم Exchange پست دومی گذاشت: بعضی سرورهای Exchange ناپایدار شده بودند و مقصر هم خود بهروزرسانی Exchange نبود، بلکه وصله‌های همان ماه Windows Server بود. اگر Exchange را روی سخت‌افزار خودتان اجرا می‌کنید، هر دو خبر در یک هفته روی میزتان می‌رسد.
تاریخ‌های پایان پشتیبانی و سه راه خروج را قبلاً در برنامهٔ خروج از Exchange 2016/2019 نوشته‌ایم. این مطلب ادامهٔ کوتاه‌تر و فوری‌تر آن است: انتشار اکتبر چه چیزهایی را درست میکند، با مشکل ویندوز چه کنید، و از نوامبر چه چیزی عوض میشود.
انتشار اکتبر ۲۰۲۶ شامل چه چیزهایی است
طبق پست انتشار تیم Exchange، این به‌روزرسانی‌ها برای Exchange Server Subscription Edition (SE) RTM، نسخه‌های CU14 و CU15 از Exchange 2019 و CU23 از Exchange 2016 عرضه شدهاند. بیلدهای 2016 و 2019 فقط در اختیار سازمان‌هایی است که در برنامهٔ Extended Security Update (ESU) دورهٔ دوم ثبت‌نام کرده‌اند. مشتریان Exchange Online از قبل محافظت می‌شوند، ولی پست صراحتاً میگوید در محیط‌های hybrid باید روی تک‌تک سرورهای Exchange داخلی و هر ایستگاه کاری که Exchange Management Tools روی آن نصب است هم بهروزرسانی نصب شود.
در انتشار امنیتی اکتبر مایکروسافت هفت CVE مربوط به Exchange Server آمده است. اولی که باید بخوانید CVE-2026-70571 است، یک سرریز بافر مبتنی بر پشته که مایکروسافت آن را Critical با امتیاز CVSS برابر 8.1 ارزیابی کرده و به مهاجم بدون مجوز اجازه می‌دهد از راه شبکه کد اجرا کند. بعدی CVE-2026-70279 است، یک نقص cross-site scripting با امتیاز 9.3 که مهاجم احرازهویت‌نشده می‌تواند از آن برای جعل (spoofing) استفاده کند. مایکروسافت هر دو را، همراه با باگ ارتقای سطح دسترسی CVE-2026-96940، با برچسب «Exploitation More Likely» مشخص کرده است. هنگام انتشار هیچکدام از این هفت مورد افشاشده یا مورد سوءاستفاده اعلام نشده بود. این خبر خوبی است، هرچند در مورد Exchange معمولاً زیاد دوام نمی‌آورد.
SUها تجمعی هستند. اگر سرورتان روی یک CU پشتیبانی‌شده است، فقط آخرین SU را نصب می‌کنید، نه همهٔ آن‌هایی را که جا انداخته‌اید.
بهروزرسانی ویندوزی که Exchange را از کار می‌اندازد
پست ۱۶ اکتبر سرورهایی را توصیف میکند که بعد از وصله مدتی درست کار می‌کنند و بعد کم‌کم افت می‌کنند. علائم گزارش‌شده: OWA با خطای MapiExceptionMdbOffline و رویداد 1006 در Application log از کار می‌افتد، صف‌های ایمیل در طول روز بزرگ و بزرگ‌تر می‌شوند تا جایی که تحویل تقریباً متوقف میشود، و اعضای DAG به quorum نمی‌رسند. ریبوت کمک میکند، ولی مشکل دوباره برمی‌گردد.
مایکروسافت چهار بهروزرسانی Windows Server را عامل این مشکل می‌داند:
- KB5126646 روی Windows Server 2025
- KB5126655 روی Windows Server 2022
- KB5126651 روی Windows Server 2019
- KB5126868 روی Windows Server 2016
هر نسخه‌ای از Exchange که روی این بیلدهای ویندوز باشد، از جمله SE، ممکن است درگیر شود. سرورهای پرترافیک زودتر علامت نشان می‌دهند. بعضی شاید هیچ‌وقت نشان ندهند.
توصیهٔ مایکروسافت این است که بهروزرسانیهای ویندوز را حذف نکنید. به جای آن، روی سرور Exchange یک command prompt با دسترسی ادمین باز کنید و این را اجرا کنید:
reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f
بعد ریبوت کنید و سرور را زیر نظر بگیرید. به گفتهٔ مایکروسافت اگر مشکل برگشت، باید این سقف را بالاتر ببرید. در عمل یعنی تغییر رجیستری را در همان پنجرهٔ نگهداری‌ای بگذارید که وصله‌های اکتبر را نصب می‌کنید، نه اینکه صبر کنید تا پشتیبانی خبر بدهد Outlook وصل نمی‌شود.
بررسی و برگرداندن تغییر رجیستری
برای اینکه بعد از ریبوت مطمئن شوید مقدار سر جایش است، از همان prompt ادمین این را اجرا کنید:
reg query "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap
خروجی باید REG_DWORD 0x10000 باشد که همان 65536 در مبنای شانزده است. اگر سرورها را با PowerShell مدیریت می‌کنید، همین بررسی این‌طور است:
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Rpc" -Name EpmapSavedContextCap
یادداشت کنید روی کدام سرورها این مقدار را گذاشته‌اید. وقتی مایکروسافت بهروزرسانی اصلاح‌شدهٔ ویندوز را منتشر کرد و آن را نصب کردید، میتوانید با reg delete "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /f این تنظیم را حذف و سرور را ریبوت کنید. قبلش آخرین راهنمایی پست تیم Exchange را چک کنید.
بهروزرسانی ۲۶ اکتبر ۲۰۲۶: این سقف چرا وجود دارد و وضعیت فعلی چیست
مایکروسافت بعداً علت را در داشبورد Windows release health توضیح داده است. بهروزرسانی اکتبر یک سقف پیش‌فرض برای حافظه‌ای گذاشته که RPC Endpoint Mapper برای فراخوانی‌های Endpoint Lookup مصرف میکند، معادل ۵۱۲ فراخوانی هم‌زمان، و به گفتهٔ مایکروسافت این مقدار ممکن است برای Exchange زیر بار سنگین کافی نباشد. مقدار رجیستری همین سقف را بالا می‌برد. مایکروسافت وضعیت مشکل را Mitigated اعلام کرده، نه حل‌شده، تغییر رجیستری را یک راهکار موقت می‌داند و میگوید یک راهکار تکمیلی هم از طریق Microsoft Support در اختیار مشتریان سازمانی است. همین مراحل حالا در مقالهٔ پشتیبانی KB5133432 هم آمده که میگوید مایکروسافت هنوز در حال بررسی است. تا امروز هیچ بهروزرسانی جایگزینی برای ویندوز اعلام نشده، پس این مقدار را روی همهٔ سرورهای Exchange بگذارید و در چک‌لیست راه‌اندازی سرورهای جدید هم نگهش دارید.
چک‌لیست هفتهٔ وصله
- همان‌طور که پست انتشار توصیه میکند، Exchange Server Health Checker مایکروسافت را روی همهٔ سرورها اجرا کنید تا ببینید هر کدام روی چه CU و SU است.
- قبل از نصب SU اکتبر، هر سرور را به CUای برسانید که این SU پشتیبانی میکند.
- بهروزرسانی اکتبر ویندوز و SU اکتبر Exchange را در یک پنجره نصب کنید و بعد مقدار رجیستری RPC را اعمال کنید.
- بعد از ریبوت مطمئن شوید همهٔ سرویس‌های Exchange بالا آمده‌اند. سرویس Disabled معمولاً یعنی setup نیمه‌کاره مانده است.
- تا چند روز طول صف و خطاهای OWA را دقیق زیر نظر داشته باشید، نه فقط اینکه «سرور بالاست».
- ایستگاه‌های کاری‌ای را که management tools دارند هم وصله کنید. این‌ها راحت فراموش می‌شوند.
از نوامبر، 2016 و 2019 دیگر خبری ندارند
پست انتشار قدم بعدی را روشن گفته است. بعد از اکتبر ۲۰۲۶ به‌روزرسانی‌ها فقط برای Exchange SE منتشر می‌شوند و اطلاعیه‌ها و مدخل‌های CVE مایکروسافت دیگر اسمی از 2016 و 2019 نمی‌برند. تیم Exchange اضافه میکند که این به معنی امن بودن این نسخه‌ها در برابر باگ‌های آینده نیست. مایکروسافت فقط دیگر آن‌ها را تست نمی‌کند. خرید دیرهنگام ESU دورهٔ دوم هم شما را فقط تا همین انتشار اکتبر جلو می‌برد.
پس از Patch Tuesday نوامبر به بعد، یک سرور Exchange 2019 در برابر هر نقص تازهٔ Exchange بی‌دفاع است، بدون وصله و حتی بدون CVEای که اسم نسخهٔ شما را بیاورد. سازمان‌هایی در امارات و عربستان که به خاطر الزامات محل نگهداری داده ایمیل را روی سرورهای خودشان نگه داشته‌اند، شاید راه ابری را هم نتوانند بپذیرند. این قوانین را در راهنمای محل نگهداری داده بررسی کرده‌ایم. برای همین دو راه واقعی میماند: ارتقای درجا به Exchange SE، یا مهاجرت به یک سرور ایمیل دیگر که خودتان میزبانی می‌کنید.
اگر به میزبانی ایمیل روی سرور خودتان فکر می‌کنید
سرورهای ایمیل متن‌باز خیلی پخته‌تر شدهاند. گزینه‌های اصلی را زیر بار واقعی در مقایسهٔ Mailcow، Stalwart و Mailu مقایسه کرده‌ایم. محصول خود ما، FanMail، روی Stalwart Mail Server ساخته شده و کاملاً روی زیرساخت خودتان اجرا میشود، با وب‌میل JMAP، تقویم، دفترچهٔ تماس و پنل مدیریت داخلی. در مقیاس ۱۰٬۰۰۰ صندوق جای یک مجموعهٔ تجاری را گرفته است. ولی نسخهٔ جایگزین بی‌دردسر Exchange نیست: کاربران Outlook که به همهٔ قابلیت‌های خاص Exchange وابسته‌اند، قبل از تصمیم نهایی باید با صندوق‌های واقعی تست کنند.
هر راهی را انتخاب کنید، کار این ماه یکی است. وصله کنید، اصلاح رجیستری را اضافه کنید، و برای تصمیم‌گیری تاریخ بگذارید، قبل از اینکه وصله‌های نوامبر بیایند و شما جا بمانید.
اگر همین بهروزرسانی شما را به فکر خروج از Exchange انداخته، برای بودجه دو چیز کمک میکند: ماشین‌حساب هزینهٔ ایمیل روی سرور خودتان، و یادداشت‌های اندازه‌گذاری Stalwart برای ۲۰۰ تا ۱۰٬۰۰۰ صندوق.
Exchange تنها سکوی ایمیل روی سرور خودتان نیست که این ماه وصلهٔ فوری دارد. سرورهای Zimbra از طریق یک بستهٔ اختیاری SNMP نفوذ شدند (بررسی حفرهٔ CVE-2026-73570 در Zimbra) و Roundcube بیست وصلهٔ امنیتی داد، در حالی که از یک تزریق SQL قدیمی‌تر پیش از ورود سوءاستفاده میشود (Roundcube 1.6.20 و 1.7.5).
پرسش‌های متداول
آیا اکتبر ۲۰۲۶ واقعاً آخرین بهروزرسانی Exchange 2016 و 2019 است؟
بله. پست انتشار مایکروسافت میگوید اکتبر ۲۰۲۶ آخرین ماهی است که مشتریان ESU دورهٔ دوم بهروزرسانی امنیتی تازه برای Exchange 2016 و 2019 میگیرند و بهروزرسانیهای بعدی فقط برای Exchange SE است.
اگر Exchange ناپایدار شد، بهروزرسانی اکتبر ویندوز را حذف کنیم؟
نه. مایکروسافت توصیه میکند بهروزرسانی ویندوز بماند و مقدار رجیستری EpmapSavedContextCap زیر HKLM\SOFTWARE\Microsoft\Rpc تنظیم شود و بعد سرور ریبوت شود.
آیا از آسیبپذیریهای اکتبر Exchange سوءاستفاده میشود؟
هنگام انتشار نه. مایکروسافت هیچکدام از هفت CVE مربوط به Exchange را سوءاستفادهشده یا افشاشده اعلام نکرد، ولی سه مورد را Exploitation More Likely دانست، از جمله باگ Critical اجرای کد از راه دور CVE-2026-70571.
از Exchange Online با یک سرور hybrid استفاده میکنیم. باید کاری بکنیم؟
بله. Exchange Online محافظت میشود، ولی به گفتهٔ مایکروسافت SU همچنان باید روی سرورهای Exchange داخلی نصب شود، حتی سرورهایی که فقط برای مدیریت نگه داشته شدهاند.
میشود مقدار رجیستری را قبل از نصب بهروزرسانی اکتبر ویندوز گذاشت؟
بله. مایکروسافت میگوید این کلید تا وقتی بهروزرسانی اکتبر ۲۰۲۶ Windows Server نصب نشده هیچ اثری ندارد و بعد از بهروزرسانی هم سر جایش میماند، پس میتوانید پیش از پنجرهٔ وصله اضافهاش کنید.
آیا مایکروسافت یک اصلاح درست و حسابی منتشر میکند؟
به این زودی نه. مایکروسافت در بهروزرسانی ۲۰ اکتبر پستش میگوید انتشار بعدی قریبالوقوعی از تیمهای Windows یا Exchange در کار نیست و توصیه میکند منتظرش نمانید: بهروزرسانیهای اکتبر ویندوز را نصب کنید و همین حالا مقدار رجیستری را اعمال کنید. همچنین میگوید هنوز موردی ندیده که به سقفی بالاتر از 65536 نیاز داشته باشد.
منابع: Released: October 2026 Exchange Server Security Updates (تیم Exchange، ۱۳ اکتبر ۲۰۲۶) و Exchange servers may become unstable after installation of October 2026 Windows updates (تیم Exchange، ۱۶ اکتبر ۲۰۲۶).
