Exchange 2019 CU13 erst in H1 2023, Aus für Basic Auth for Autodiscover

Microsoft verschob dieses nun auf das erste Halbjahr 2023. Als Grund gibt das Unternehmen an, dass im November nicht mehr genügend Zeit übrig sei und dass Kunden signalisiert hätten, wonach sie im Dezember keine größeren Updates für Exchange installieren möchten.

Support-Ende für Exchange 2013 und Office 2013

Exchange 2013 und 2016 erhalten keine CUs mehr, weil beide Versionen bereits aus dem Mainstream-Support gefallen sind. Für die Version 2013 endet auch die erweiterte Unterstützung am 11. April 2023, so dass nach diesem Datum dafür auch keine Security-Updates mehr erscheinen.

Microsoft empfiehlt den Anwendern von Exchange 2013 den Wechsel nach Exchange Online oder das Upgrade auf die Version 2019. Diese soll noch über einen längeren Zeitraum neue Features erhalten, nachdem der Nachfolger auf mindestens 2025 verschoben wurde.

Die Sicherheits-Updates für November betreffen alle drei aktuell noch unterstützten Versionen. Sie schließen unter anderem die Schwachstellen CVE-2022-41040 und CVE-2022-41082, für die es bereits Exploits gibt. Entsprechend dringend ist deren Installation.

Gleichzeitig mit Exchange 2013 erreicht auch Office 2013 das Ende seines Supports. Beide Produkte lassen sich danach wie gewohnt weiternutzen. Das gilt im Fall der Office-Apps auch für die Verbindung zu den Online-Diensten von M365, die zwar weiterhin möglich sind, aber nicht unterstützt werden.

Bereits ein halbes Jahr später, nämlich am 10. Oktober ereilt dieses Schicksal auch Office 2016 und 2019. Neue Features in M365 werden ab dann nicht mehr für diese Versionen getestet, und falls Probleme bei Zusammenspiel dieser Apps mit den Cloud-Services auftreten, dann bietet Microsoft dafür keinen Support.

Basic Auth für Autodiscover

Im Oktober hat Microsoft die unsichere Basic Authentication deaktiviert. Anwender erhielten jedoch die Möglichkeit für eine einmalige Frist­verlängerung.

Der Anbieter beginnt nun damit, auch Basic Auth für das Autodiscover-Protokoll zu deaktivieren, wenn bei Kunden die Authentifizierung über Username und Passwort bereits abgeschaltet ist. Solche Anwender, welche die Fristverlängerung in Anspruch genommen haben, folgen dann dem Ende des entsprechenden Zeitraums.