Exchange 2016/2019 için son ay: ESU programı Ekim 2026 sonunda bitiyor

Exchange Server 2016 ve 2019'un desteği 14 Ekim 2025'te bitti. Ücretli Genişletilmiş Güvenlik Güncellemesi (ESU) programı da Ekim 2026'nın sonunda kapanıyor ve Microsoft başka uzatma olmayacağını açıkladı. Yani ESU'lu sunucular için bu, güncelleme alınabilecek son ay. Neyin değiştiğini, riskleri ve seçenekleri özetledik.

Kısaca

• Destek sonu: Exchange Server 2016 ve 2019'un desteği 14 Ekim 2025'te bitti.
• ESU'suz sunucular: Ücretli ESU programına katılmayan Exchange 2016/2019 sunucuları 14 Ekim 2025'ten beri hiçbir güvenlik güncellemesi almıyor.
• ESU'lu sunucular: Microsoft ESU programı için ikinci bir dönem (Period 2) açtı. Bu dönem Ekim 2026'nın sonunda bitiyor. Microsoft'un ifadesiyle: "Ekim 2026 bittiğinde, Period 2 ESU'nuz olsa bile Exchange 2016/2019 için başka güncelleme olmayacak."
• Uzatma yok: Microsoft, ESU takviminin bir daha uzatılmayacağını açıkça belirtiyor.
• Seçenekler: Şirket içinde kalmak isteyenler için Exchange Server Subscription Edition (SE), bulut için Microsoft 365 / Exchange Online ya da ikisini birlikte kullanan hibrit yapı.

Ne değişti?

Microsoft, Exchange 2016 ve 2019 için destek sona erdiğinde teknik destek, hata düzeltmeleri ve güvenlik güncellemeleri sağlamayı bıraktı. Sunucular çalışmaya devam ediyor, ancak Microsoft bu sürümlerden bir an önce geçilmesini "kesinlikle" öneriyor.

Geçişini tamamlayamayan kurumlar için Microsoft ücretli bir ESU programı sundu, ardından bunu ikinci bir dönemle uzattı. Exchange ekibinin Temmuz 2026'daki açıklamasına göre bu ikinci dönem Ekim 2026 ile birlikte bitiyor ve başka bir uzatma olmayacak. Kasım 2026'dan itibaren ESU'su olan sunucular da tamamen yamasız kalacak.

ESU programına hiç katılmadıysanız durum zaten bir yıldır böyle: Sunucunuz 14 Ekim 2025'ten beri yeni çıkan açıklar için güncelleme almıyor.

İnternete açık Exchange neden risk?

Exchange sunucuları çoğu zaman Outlook on the web (OWA), Exchange yönetim merkezi (ECP/EAC), ActiveSync ve Autodiscover gibi hizmetlerle doğrudan internete açık çalışır. Bu da onları saldırganların ilk hedeflerinden biri yapar.

Geçmişte bunun bedeli ağır oldu. Mart 2021'de Microsoft, şirket içi Exchange sunucularını hedef alan sıfırıncı gün açıklarının (ProxyLogon olarak bilinen CVE-2021-26855 ve ilişkili açıklar) saldırılarda kullanıldığını duyurdu. Microsoft'a göre saldırganlar bu açıklarla e-posta hesaplarına eriştiler ve sunuculara web shell yerleştirdiler. Kısa süre içinde açıkları yamalanmamış sistemlere karşı başka saldırgan grupları da kullanmaya başladı.

O dönem yama vardı ve yamayı hızlı kuranlar korunabildi. Desteği bitmiş bir sunucuda ise benzer bir açık çıktığında kurulacak bir yama olmayacak.

Ekim 2026 güncellemesi: Kritik Exchange açığı (CVE-2026-70571)

Bu yazı yayındayken Microsoft, 13 Ekim 2026'da Exchange Server için kritik bir uzaktan kod çalıştırma açığını kapatan Ekim güvenlik güncellemesini yayımladı: CVE-2026-70571 (CVSS 3.1: 8,1; Microsoft önem derecesi: Kritik). Microsoft'a göre kimliği doğrulanmamış bir saldırgan, özel hazırlanmış bir e-postayla sunucudaki bir içerik dönüştürme sürecini tetikleyerek kod çalıştırabilir; kullanıcı etkileşimi gerekmiyor. Microsoft açığın henüz istismar edilmediğini, ancak istismar olasılığının yüksek olduğunu belirtiyor.

• Exchange SE: KB5128895
• Exchange 2019 CU15: KB5128896
• Exchange 2019 CU14: KB5128897
• Exchange 2016 CU23: KB5128898

Exchange 2016/2019 için bu, alınabilecek son güvenlik güncellemesi: 2016/2019 güncellemeleri yalnızca Period 2 ESU'ya kayıtlı kurumlara sunuluyor ve program Ekim 2026 sonunda kapanıyor.

Aynı ay içinde, 2 Ekim 2026'da yayımlanan CVE-2026-96940 (CVSS 8,8) da Exchange sunucularını etkiledi. Microsoft'a göre oturum açmış bir saldırgan, aynı kurumdaki başka kullanıcıların posta kutularına erişip e-postaları okuyabilir. Düzeltme, Eylül 2026 V2 güvenlik güncellemeleriyle geldi (Exchange SE için KB5129955); Exchange Online tarafında düzeltmeyi Microsoft kendisi uyguladı.

Özetle: ESU'nuz olsa bile Kasım 2026'dan sonra bu tür açıklar için yama çıkmayacak. Geçiş planını (Exchange SE veya Microsoft 365) bu ay tamamlamak gerekiyor.

Seçenekler

1. Exchange Server SE (şirket içi)

Exchange Server Subscription Edition, Exchange 2019'un şirket içindeki devamı.

• Exchange 2019'dan: Exchange 2019 CU14 veya CU15 çalıştıran sunucular doğrudan, yerinde (in-place) Exchange SE'ye yükseltilebiliyor. Microsoft, SE'nin Exchange 2019'un kümülatif bir güncellemesi gibi olduğunu ve bu yükseltmenin düşük riskli olduğunu belirtiyor. CU14'ün altındaki sunucuların önce güncellenmesi gerekiyor.
• Exchange 2016'dan: Yerinde yükseltme yolu yok, geçiş (migration) gerekiyor. Microsoft'a göre Exchange SE CU2 çıkmadan önce mevcut Exchange 2016 (veya 2016/2019 karışık) organizasyonunuza bir Exchange SE sunucusu ekleyip posta kutularını bu sunucuya taşıyabilirsiniz.
• Lisans: Microsoft'a göre Exchange 2019 ve Exchange SE'nin lisans gereksinimleri aynı: Sunucu lisansı ve her kullanıcı veya cihaz için CAL. Fark şu: SE'yi kullanmaya ve güncelleme almaya devam etmek için sunucu lisanslarında ve CAL'larda aktif Software Assurance (SA) ya da uygun bir Microsoft 365 aboneliği gerekiyor. SA yenilenmezse SE kullanım hakkı bitiyor.

2. Microsoft 365 / Exchange Online

Posta kutularını buluta taşıdığınızda sunucu güncellemeleri, donanım ve yedekli altyapı Microsoft'un sorumluluğuna geçer. Microsoft, ProxyLogon saldırıları sırasında Exchange Online'ın bu açıklardan etkilenmediğini belirtmişti. Mail sunucusunu kendi bünyesinde yönetecek uzman ekibi olmayan KOBİ'ler için genellikle en pratik yol bu.

3. Hibrit

Posta kutularının çoğunu Exchange Online'a taşıyıp şirket içinde yönetim veya özel ihtiyaçlar için bir Exchange sunucusu bırakabilirsiniz. Şirket içinde kalan bu sunucunun da desteklenen bir sürümde (Exchange SE) olması gerekiyor.

KOBİ'ler için eylem planı

1. Envanter çıkarın: Hangi sunucularda Exchange 2016 veya 2019 çalıştığını ve hangi CU seviyesinde olduklarını belirleyin. ESU'ya kayıtlı olup olmadığınızı netleştirin.
2. ESU'nuz varsa: Ekim 2026 sonuna kadar yayınlanan güncellemeleri eksiksiz kurun ve geçişi Kasım'dan önce bitirecek şekilde planlayın.
3. Hedefi seçin: Exchange SE mi, Microsoft 365 mi, hibrit mi? Kullanıcı sayısı, BT ekibi, uyumluluk gereksinimleri ve bütçeye göre karar verin.
4. Lisansı netleştirin: SE için mevcut lisanslarınızda aktif SA olup olmadığını kontrol edin; Microsoft 365 için uygun planı belirleyin.
5. Geçene kadar riski azaltın: OWA ve ECP'yi mümkünse doğrudan internete açmayın, yönetim arayüzlerine erişimi sınırlayın, çok faktörlü kimlik doğrulama kullanın ve sunucu günlüklerini izleyin. Bunlar riski azaltır ama güvenlik güncellemesinin yerini tutmaz.

Doğa Network nasıl yardımcı olabilir?

Exchange ortamınızı ücretsiz olarak inceleyip size en uygun yolu birlikte belirleyebiliriz. Microsoft 365 / Exchange Online'a taşıma, Exchange 2019'dan Exchange SE'ye yerinde yükseltme, Exchange 2016'dan geçiş ve lisans ihtiyacının (SA, CAL, Microsoft 365 planı) hesaplanması konularında ekibimiz yanınızda. Bize 0850 888 3642 numaralı telefondan veya hi@doga.network adresinden ulaşabilirsiniz.

Kaynaklar

• MSRC – CVE-2026-70571
• Microsoft Support – Exchange SE güvenlik güncellemesi, 13 Ekim 2026 (KB5128895)
• Microsoft Support – Exchange Server 2019 CU15 güvenlik güncellemesi, 13 Ekim 2026 (KB5128896)
• Microsoft Support – Exchange Server 2016 CU23 güvenlik güncellemesi, 13 Ekim 2026 (KB5128898)
• MSRC – CVE-2026-96940
• Microsoft Support – Exchange SE Eylül 2026 V2 güvenlik güncellemesi, 2 Ekim 2026 (KB5129955)

• Microsoft Learn – Exchange Server 2019 and 2016 End of Support Roadmap
• Exchange Team Blog – Reminder: Exchange 2016 and 2019 ESU Program Ends in October 2026
• Exchange Team Blog – Announcing Exchange 2016 / 2019 Extended Security Update program
• Microsoft Learn – Exchange Server 2019 yaşam döngüsü
• Microsoft Learn – Exchange Server 2016 yaşam döngüsü
• Microsoft – Exchange Online ve Exchange Server Lisanslama SSS
• Microsoft Security Blog – HAFNIUM targeting Exchange Servers with 0-day exploits