Por Canuto  

Microsoft advierte que Exchange Server 2016 y 2019 ya no reciben pruebas de vulnerabilidades ni actualizaciones de seguridad, y pide a las organizaciones migrar de inmediato. Las correcciones de noviembre se limitaron a Exchange Server Subscription Edition.
***

  • El soporte de Exchange Server 2016 y 2019 terminó el 14 de octubre de 2025; Microsoft ya no prueba esas versiones en busca de vulnerabilidades ni publica parches.
  • Tras anunciar una extensión de seguridad de pago hasta abril de 2026, Microsoft concedió otros seis meses; las últimas actualizaciones para las versiones antiguas llegaron el 13 de octubre.
  • La actualización de noviembre corrigió nueve vulnerabilidades en Exchange Server Subscription Edition, incluida una falla crítica de ejecución remota de código.

Las organizaciones que todavía utilizan Exchange Server 2016 o 2019 enfrentan una advertencia directa de Microsoft: la compañía ya no prueba esas versiones en busca de vulnerabilidades ni publica actualizaciones para ellas. En la documentación de seguridad de noviembre, Microsoft pidió actualizar de inmediato y describió ambas ediciones como permanentemente vulnerables, mientras las correcciones de ese mes se distribuyeron únicamente para Exchange Server Subscription Edition (SE).

Una advertencia después del fin del soporte

La indicación de Microsoft marca un cambio práctico para las empresas que conservan instalaciones de Exchange 2016 o 2019: ya no pueden contar con que una nueva falla descubierta en esas ediciones vaya a recibir una corrección oficial. La compañía afirma que dejó de probarlas frente a vulnerabilidades y de publicar actualizaciones, por lo que pidió a sus clientes migrar sin demora a una versión posterior o a una alternativa en línea.

Microsoft expresó la advertencia en la documentación de lanzamiento de la actualización de seguridad de noviembre para Exchange Server SE. Allí señaló que los clientes deben considerar las ediciones 2016 y 2019 «permanentemente vulnerables» y actualizar su organización de inmediato. La formulación no identifica una vulnerabilidad concreta en cada instalación antigua, sino que comunica que esas versiones quedaron fuera del proceso de evaluación y corrección de seguridad.

El soporte de Exchange Server 2016 y 2019 había terminado el 14 de octubre de 2025. Ese cierre significó que los clientes ya no podían asumir que el ciclo habitual de mantenimiento continuaría, aunque Microsoft abrió después una excepción temporal mediante un programa de actualizaciones de seguridad extendidas, conocido como ESU por sus siglas en inglés.

La diferencia entre recibir una corrección y quedar fuera de las pruebas de seguridad resulta central para interpretar el aviso. Una actualización puede resolver fallas identificadas en una versión compatible, pero Microsoft dice que ya no examina las ediciones antiguas para detectar vulnerabilidades; por eso, la advertencia abarca también problemas que podrían aparecer después, sin promesa de análisis ni de un parche posterior.

Prórrogas que llegaron a su límite

Microsoft anunció el programa ESU en julio de 2025, antes del fin del soporte, con la expectativa de que la cobertura concluyera el 14 de abril de 2026. La empresa presentó ese horizonte como un plazo que no se prolongaría más allá de abril, bajo la premisa de que los clientes tendrían tiempo para migrar a una versión posterior o a Exchange en línea.

Sin embargo, cuando llegó abril de 2026, algunos clientes todavía dependían de las versiones antiguas. Microsoft respondió con otros seis meses de actualizaciones de seguridad de pago, una extensión que amplió el margen para las organizaciones rezagadas, pero no cambió la condición de fondo: se trataba de un período excepcional y temporal, no de una reanudación indefinida del soporte.

En las semanas finales de esa extensión apareció otro contratiempo para los administradores: una actualización de Windows Server que rompía Exchange Server, según el reporte de The Register. La información disponible no detalla el alcance del problema ni las instalaciones afectadas, pero sí ubica ese episodio dentro de un cierre de ciclo especialmente delicado para quienes aún mantenían los servidores antiguos.

Microsoft publicó las últimas actualizaciones de seguridad para Exchange Server 2016 y 2019 el 13 de octubre de 2026. Con ese lanzamiento terminaron las prórrogas descritas en la noticia: la empresa no anunció una nueva extensión y, en su aviso de noviembre, confirmó que ya no probaría ni actualizaría esas ediciones.

Las correcciones de noviembre se reservan para SE

La actualización de seguridad de noviembre se dirigió a Exchange Server Subscription Edition, la edición que sí recibió correcciones en ese ciclo. De acuerdo con la guía de actualizaciones de seguridad de Microsoft, el paquete corrigió nueve vulnerabilidades en SE, entre ellas una falla crítica de ejecución remota de código identificada como CVE-2026-118207.

Una vulnerabilidad de ejecución remota de código puede permitir que un atacante ejecute instrucciones en un sistema afectado, aunque la información de la noticia no especifica las condiciones técnicas de explotación de esta falla ni afirma que haya sido utilizada en ataques. El dato confirmado es su clasificación como crítica y que Microsoft la incluyó entre las nueve vulnerabilidades corregidas para Exchange SE.

La comparación entre las versiones permite entender por qué el aviso importa más allá de una actualización mensual. Los usuarios de SE recibieron correcciones para los problemas contemplados por Microsoft en noviembre, mientras que los administradores de 2016 y 2019 quedaron fuera de ese ciclo y no tienen, según la compañía, garantías de que futuras fallas en esas ediciones sean evaluadas o reparadas.

Para las organizaciones afectadas, la recomendación de Microsoft es migrar de inmediato, en lugar de confiar en que reaparecerán las actualizaciones de seguridad. La noticia no precisa cuántos clientes siguen usando esas versiones ni establece una fecha límite adicional, de modo que el mensaje se concentra en la decisión operativa: seguir con Exchange 2016 o 2019 implica aceptar que el fabricante considera esas instalaciones permanentemente vulnerables.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados