:::: MENU ::::

Aktualizace pro SharePoint Server 2016 (July 2026 CU)

19.7.2026    |    komentáře   komentářů: 0

Pro SharePoint Server 2016 byla vydána nová kumulativní aktualizace (July 2026 CU).

Tento CU obsahuje jak Feature Pack 2, který je součástí od zářijového CU (September 2017 CU), tak i předchozí Feature Pack 1.

SP Build:
16.0.5561.1001 (Language independent CU)
16.0.5561.1001 (Language dependent CU)

Důležité před instalací:

Pokud přecházíte ze September 2025 CU na novější aktualizaci, odeberte před instalací účet NT AUTHORITY\SYSTEM z místních skupin WSS_WPG a IIS_IUSRS na všech SharePoint serverech farmy, pokud je jejich členem. Jinak může instalace aktualizace selhat.

SharePoint 2016 CU – KB články popisující CU:

  • KB 5002891 – July 2026 Update for SharePoint Server 2016 (language independent)
  • KB 5002892 – July 2026 Update for SharePoint Server 2016 (language dependent)

SharePoint Server 2016 CU – Odkaz ke stažení CU:

Po dokončení instalace nezapomeňte na spuštění průvodce konfigurací služby SharePoint 2016 (SharePoint 2016 Products Configuration Wizard), nebo příkazu:

PSConfig.exe -cmd upgrade -inplace b2b -wait -cmd applicationcontent -install -cmd installfeatures -cmd secureresources -cmd services -install

Upozornění

Vždy instalujte oba balíčky a to v pořadí:

  1. jazykové nezávislé komponenty (hlavní CU)
  2. jazykové závislé komponenty (jazykový CU)

V případě jazykově závislých balíčku (language dependent) nezáleží jaký jazyk si ve výsledku vyberete, jelikož každý balíček obsahuje aktualizace pro všechny jazyky.

V případě, že na SharePoint Server 2016 farmu instalujete nový jazykový balíček, je nutné následně znova nainstalovat jazykové závislý balíček (language dependent).

Nezapomínejte, že krom SharePoint je nutné mít aktualizovanou i službu Distributed Cache, viz. Jak správně aktualizovat Distributed Cache.

Upozornění k tomuto CU:

KB 5002891 vyžaduje, aby farmy používající SharePoint Workflow Manager před tímto CU nainstalovaly jeho aktualizaci KB5002799.

Pro pracovní postupy typu 2013 vyžaduje jazykově závislý KB 5002892 nejprve instalaci aktualizace SharePoint Workflow Manager ze srpna 2025.

Pro další používání klasické verze Workflow Manager povolte její ladicí příznak:

      $farm = Get-SPFarm
      $farm.ServerDebugFlags.Add(53601)
      $farm.update()
      iisreset

Před použitím této aktualizace zabezpečení musí být nainstalována původní vydaná verze SharePoint Server 2016.

Zapnutí moderního prostředí OneDrive pro firmy vyžaduje aktivní smlouvu Software Assurance, ať je zapnuto aktualizací, nebo ručně. Pokud smlouva v okamžiku zapnutí není aktivní, toto prostředí vypněte.

Farmy s více front-end servery používající ověřování Trusted Provider nebo Forms mohou opakovaně vyžadovat ověření či více přihlášení. Farmy s ověřováním Windows by neměly být dotčeny. Trvalé přiřazení relace ke stejnému serveru (sticky sessions) na reverzní proxy zmírňuje většinu scénářů, zatímco Microsoft připravuje pozdější opravu. Microsoft nedoporučuje vypínat SessionCookieTransformProtectionEnabled: nastavení chrání ověřování a jeho vypnutí může farmu vystavit chybám zabezpečení.

Při otevření odkazu na stav pracovního postupu může WrkStat.aspx zobrazit chybu „The WorkflowInstanceID parameter is invalid.“ Použijte níže popsaný postup Microsoftu.

Nadměrné kódování WorkflowInstanceID vzniká při vykreslení; uložená data zůstávají v pořádku. Použijte nabídku dokumentu: Menu → More → Workflow → Internal Status. Alternativně na každém dotčeném WFE, s oprávněním správce a nainstalovaným IIS URL Rewrite 2.1, zazálohujte web.config obsahové webové aplikace. Bez modulu pravidlo způsobí HTTP 500.19. Následující blok vložte do <system.webServer>; pokud již existuje <rewrite>, přidejte pouze <rule> do <rules>. Uložte soubor; automatická recyklace aplikace znamená, že reset IIS není potřebný.

<rewrite> 
  <rules> 
    <rule name="Fix over-encoded WrkStat WorkflowInstanceID" stopProcessing="true"> 
      <match url="^(.*)(_layouts/15/WrkStat\.aspx)$" ignoreCase="true" /> 
      <conditions logicalGrouping="MatchAll" trackAllCaptures="false"> 
        <add input="{QUERY_STRING}" 
             pattern="^(.*)(List|WorkflowInstanceID)=%(?:25)+7b([0-9A-Fa-f]{8})%(?:25)+2d([0-9A-Fa-f]{4})%(?:25)+2d([0-9A-Fa-f]{4})%(?:25)+2d([0-9A-Fa-f]{4})%(?:25)+2d([0-9A-Fa-f]{12})%(?:25)+7d(.*)$" /> 
      </conditions> 
      <action type="Rewrite" 
              url="{R:0}?{C:1}{C:2}=%7b{C:3}%2d{C:4}%2d{C:5}%2d{C:6}%2d{C:7}%7d{C:8}" 
              appendQueryString="false" /> 
    </rule> 
  </rules> 
</rewrite>

Otestujte dříve selhávající i funkční odkazy, včetně dvojitého a trojitého kódování. Správné odkazy zůstávají beze změny, a to i po trvalé opravě. Uložené URL neupravujte. Další možností je odpovídající pravidlo na reverzní proxy nebo nástroji pro vyrovnávání zátěže.

Po červencové aktualizaci SharePoint 2016 nemusí Office Online Server dokázat vykreslovat nebo upravovat dokumenty. Zaregistrujte veřejnou část podpisového certifikátu STS farmy jako důvěryhodného vydavatele tokenů a potom recyklujte IIS na každém SharePoint serveru. Exportujte pouze veřejný certifikát bez privátního klíče a ověřte nepřítomnost privátního klíče:

# Get STS certificate 
$stsm = Get-SPSecurityTokenServiceConfig
$live = $stsm.LocalLoginProvider.SigningCertificate

# Export public certificate only (without private key)
$bytes = $live.Export("Cert")
$tempFile = "$env:TEMP\STS_Public.cer"
Set-Content -Path $tempFile -Value $bytes -Encoding Byte

# Load public certificate
$pub = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($tempFile)

# Verify it does NOT contain private key
$pub.HasPrivateKey

# Get realm
$realm = $stsm.NameIdentifier

# Create trusted issuer
  New-SPTrustedSecurityTokenIssuer `
    -Name "LocalSelfIssuerWopiFix" `
    -Description "Re-trust farm self-issuer after July PU" `
    -Certificate $pub `
    -RegisteredIssuerName $realm

# IIS Reset on all SharePoint servers
  iisreset

Obsažené opravy a vylepšení

Následující přehled shrnuje opravy a vylepšení tohoto CU podle oficiálních Microsoft KB článků.

SharePoint Server 2016

Hlavní balíček KB 5002891 řeší zvýšení oprávnění a falšování identity v SharePoint Server, zpřístupnění informací v Microsoft Office a vzdálené spuštění kódu v SharePoint. Uvádí bezpečnostní doporučení CVE-2026-55134, CVE-2026-55051, CVE-2026-55126, CVE-2026-55032, CVE-2026-55027, CVE-2026-55034, CVE-2026-55021, CVE-2026-55020, CVE-2026-58277, CVE-2026-56192, CVE-2026-56157, CVE-2026-55030, CVE-2026-55023, CVE-2026-55019, CVE-2026-55016, CVE-2026-50522, CVE-2026-56164, CVE-2026-54108, CVE-2026-55124, CVE-2026-55033, CVE-2026-55050, CVE-2026-55045, CVE-2026-55047, CVE-2026-55028, CVE-2026-55026, CVE-2026-55135, CVE-2026-55052, CVE-2026-55130, CVE-2026-55128, CVE-2026-55142, CVE-2026-55040, CVE-2026-55132, CVE-2026-55038, CVE-2026-55055, CVE-2026-55035, CVE-2026-55127.

Jazykově závislý KB 5002892 řeší vzdálené spuštění kódu v Microsoft Office a zpřístupnění informací v Microsoft Word: CVE-2026-55035, CVE-2026-55127, CVE-2026-55124, CVE-2026-55033, CVE-2026-55050, CVE-2026-55045, CVE-2026-55047, CVE-2026-55028, CVE-2026-55026, CVE-2026-55125, CVE-2026-55134, CVE-2026-55032, CVE-2026-55027, CVE-2026-56192, CVE-2026-55130, CVE-2026-55128, CVE-2026-55142, CVE-2026-55132, CVE-2026-55038, CVE-2026-55055, CVE-2026-55023.

Hlavní balíček KB 5002891 obsahuje také tuto opravu:

  • Opravuje problém, při kterém po instalaci červnové aktualizace 2026 nelze spustit pracovní postupy SharePoint 2010.

Komentáře jsou uzavřeny.