Exchange 2016 e 2019: niente più aggiornamenti
Nelle note dell'aggiornamento di novembre per Exchange Server Subscription Edition, Microsoft scrive che Exchange 2016 e 2019 «non sono più testati per le vulnerabilità e non escono aggiornamenti» (post Microsoft del 10 novembre, ripreso da The Register). Chi li usa ancora deve passare a una versione supportata.
Fabrizio Piccoaggiornata il 13 novembre 2026 · si legge in 3 minuti
Se in azienda o presso un cliente c'è un server di posta Exchange 2016 o 2019, qui trovi cosa ha scritto Microsoft, la cronologia della fine del supporto, cosa non si sa ancora e cosa conviene decidere.
Cosa ha scritto Microsoft
Nel post del team Exchange del 10 novembre 2026, dedicato agli aggiornamenti di sicurezza per Exchange Server Subscription Edition (SE), Microsoft afferma che Exchange Server 2016 e 2019 «non sono più testati per le vulnerabilità e non vengono rilasciati aggiornamenti» (nostra traduzione dall'inglese).
Lo stesso post aggiunge che le due versioni vanno considerate «permanently vulnerable» («permanentemente vulnerabili», con enfasi di Microsoft) e che bisogna aggiornare subito l'organizzazione. Nelle FAQ Microsoft scrive anche che 2016 e 2019 sono «out of support».
Come si è arrivati qui
Il supporto standard di Exchange 2016 e 2019 è finito il 14 ottobre 2025. A luglio 2025 Microsoft aveva annunciato un programma a pagamento di aggiornamenti estesi (ESU), con scadenza al 14 aprile 2026, poi prorogato di sei mesi.
Secondo The Register, gli ultimi aggiornamenti per 2016 e 2019 sono usciti il 13 ottobre 2026. L'aggiornamento di novembre riguarda solo la versione SE e, sempre secondo il giornale, corregge nove vulnerabilità, fra cui una di esecuzione di codice da remoto, CVE-2026-118207.
Cosa non si sa ancora
Cosa dice Microsoft. Il post non indica KB, CVE né gravità per 2016 e 2019, perché per queste versioni non escono aggiornamenti.
Dettagli delle falle. Il numero di vulnerabilità (nove) e la CVE-2026-118207 vengono da The Register; non li abbiamo ritrovati nel post Microsoft letto.
La falla. Non abbiamo trovato la gravità numerica (CVSS) di CVE-2026-118207 né conferme che sia sfruttata. Per CVE-2026-118207 e le altre, non sappiamo se riguardino anche 2016 e 2019: Microsoft dice che quelle versioni non vengono più testate.
I numeri. Non abbiamo un conteggio affidabile dei server 2016 e 2019 ancora in uso.
Cosa fare
I passi sotto sono consigli nostri, in linea con l'invito di The Register a migrare subito.
- Fai l'elenco dei server Exchange e annota la versione di ciascuno.
- Per ogni server 2016 o 2019, scegli la strada: aggiornare a Exchange SE oppure passare a un servizio di posta in cloud.
- Nel frattempo evita di esporre quei server a Internet più del necessario e controlla che siano aggiornati all'ultima versione disponibile.
Domande frequenti
Exchange 2016 e 2019 sono ancora supportati?
Il supporto standard è finito il 14 ottobre 2025; secondo The Register gli ultimi aggiornamenti del programma esteso sono usciti il 13 ottobre 2026. Messageware riporta che il programma ESU copriva fino al 31 ottobre 2026 e non sarà prorogato.
Cosa significa «permanently vulnerable»?
È la formula con cui Microsoft, nel post del 10 novembre sugli aggiornamenti di Exchange SE, invita a considerare 2016 e 2019 permanentemente vulnerabili: non sono più testati e non escono aggiornamenti.
Da dove vengono questi dati
- Microsoft Exchange Team — Released: November 2026 Exchange Server Security Updates (10 novembre 2026) fonte primaria, letta
- Messageware — Final Exchange 2016 and 2019 security update ships in October 2026 contesto sul programma ESU, letta
- The Register — Microsoft Exchange Server 2016 and 2019 enter their permanently vulnerable era (12 novembre 2026) letta; fonte di cronologia, numero di falle e CVE-2026-118207
Questa guida l’ho scritta con l’aiuto dell’intelligenza artificiale e l’ho verificata sulle fonti qui sopra prima di pubblicarla. Come lavoro
