15 noviembre 2026
Noticias, Seguridad
4 minutos de lectura

Exchange 2016 y 2019 se quedan sin parches: qué opciones quedan a las empresas

Antonio

Las empresas que todavía tienen el correo en Exchange Server 2016 o 2019 ya no recibirán ningún parche más. Microsoft publicó las últimas actualizaciones de seguridad para ambas versiones el 13 de octubre de 2026, al terminar el programa de pago de actualizaciones extendidas (ESU), y en su anuncio de noviembre pide considerarlas «permanentemente vulnerables» y actualizar de inmediato. Las correcciones de este mes, nueve en total y una de ellas crítica, solo han llegado a Exchange Server Subscription Edition (SE).

Las claves del fin de Exchange 2016 y 2019 en 20 segundos

Últimos parches el 13 de octubre de 2026; no habrá más prórrogas.
Microsoft ya no prueba esas versiones frente a nuevos fallos.
Noviembre corrigió nueve fallos solo en Exchange SE.
Las salidas: Exchange SE, Exchange Online o un modelo híbrido.

El detalle técnico de las vulnerabilidades, incluida la ejecución remota de código CVE-2026-118207, está en el análisis que ha publicado OpenSecurity. Para los responsables de sistemas, la cuestión es otra: qué hacer con un servidor de correo que sigue funcionando, pero que ya no recibirá correcciones.

Un año de prórrogas que se ha acabado

El soporte extendido de Exchange 2016 y 2019 terminó el 14 de octubre de 2025. Microsoft vendió entonces un primer periodo de parches de pago hasta abril de 2026 y, ante las peticiones de los clientes, añadió un segundo periodo de mayo a octubre. En julio avisó de que no habría un tercero, aunque tuviera clientes pidiéndolo. Desde octubre, según el equipo de Exchange, solo se publican actualizaciones para Exchange SE, los avisos de seguridad dejan de mencionar las versiones antiguas y la compañía deja de analizarlas frente a vulnerabilidades. La compra del segundo periodo de ESU sigue abierta un tiempo, pero solo da acceso a los parches ya publicados.

La migración va con retraso en muchas organizaciones. En agosto, la Shadowserver Foundation contaba 21.899 direcciones IP con Exchange expuesto a internet y sin parchear frente a un fallo de ese mes con código de explotación público. En Alemania, según heise, el CERT nacional solo encontró nueve servidores Exchange 2016 o 2019 con parches del programa ESU, lo que sugiere que buena parte de los servidores antiguos ni siquiera pagaba por las actualizaciones extendidas.

Las tres salidas: SE, Online o híbrido

Exchange Server Subscription Edition es la continuación en local. Mantiene el correo en servidores propios o en la nube privada de la empresa, que es lo que buscan las organizaciones con requisitos de soberanía de datos, regulación sectorial o integraciones que no quieren llevar a Microsoft 365. Cambia el modelo de licencia: es una edición por suscripción, con licencias de servidor y de acceso de cliente vinculadas a un contrato activo. Para quien ya está en Exchange 2019 con las últimas actualizaciones acumulativas, Microsoft ofrece una actualización directa a SE; desde Exchange 2016 hay que montar servidores nuevos y mover los buzones.

Exchange Online elimina el servidor propio y con él la tarea de parchear, a cambio de depender del servicio de Microsoft y de sus incidencias, como la caída de Microsoft 365 de más de 17 horas de esta misma semana. Es la opción que Microsoft empuja con más fuerza y la más sencilla para empresas pequeñas sin requisitos especiales.

El modelo híbrido combina ambos mundos, con buzones en la nube y algunos en local, o con un servidor local que solo se mantiene para gestión. Aquí hay que tener cuidado: ese servidor de gestión también debe estar en una versión con soporte, porque un Exchange 2019 olvidado en un entorno híbrido sigue siendo una puerta de entrada.

Qué hacer mientras se migra

Una migración de correo no se hace en una semana, y mientras dure conviene reducir la exposición de los servidores antiguos. Las medidas básicas son inventariar todos los Exchange con el script Health Checker de Microsoft, instalar los parches finales de octubre donde haya ESU, sacar los servidores 2016 y 2019 de internet o protegerlos con VPN o un proxy con autenticación previa, y aplicar sin demora los parches mensuales en los servidores ya migrados a SE, junto con las actualizaciones de Windows Server, que en noviembre corrigen la inestabilidad que las de octubre provocaban en Exchange.

Para quien opte por Exchange SE sobre infraestructura propia, el fin de las versiones antiguas también es un buen momento para revisar dónde corre ese servidor: el hardware de 2016 o 2019 suele estar tan amortizado como el software, y la plataforma de virtualización puede necesitar su propia renovación. Muchas empresas lo están aprovechando para salir de VMware hacia Proxmox o para llevar sus cargas a una nube privada gestionada.