Administradores de sistemas que ainda utilizam Microsoft Exchange Server 2016 ou Exchange Server 2019 precisam agir desde já. A Microsoft confirmou que o programa de Atualizações de Segurança Estendidas (Extended Security Updates – ESU) será encerrado definitivamente em outubro de 2026 e que não haverá novas prorrogações. Após essa data, as duas versões deixarão de receber correções de segurança, mesmo diante da descoberta de novas vulnerabilidades críticas.
O anúncio representa um marco importante no ciclo de vida do Exchange Server e reforça a necessidade de planejamento para a modernização da infraestrutura de e-mail corporativa. Para empresas que ainda mantêm servidores locais em produção, adiar essa decisão significa aumentar a exposição a ataques cibernéticos, além de enfrentar desafios relacionados à conformidade e ao suporte técnico.
Neste artigo, você entenderá o que muda com o encerramento definitivo do ESU, quais riscos envolvem a permanência em versões descontinuadas e quais caminhos a própria Microsoft recomenda para manter o ambiente protegido e atualizado.
Microsoft confirma o encerramento definitivo das atualizações de segurança estendidas
A equipe responsável pelo Microsoft Exchange Server confirmou oficialmente que o segundo e último período do programa Extended Security Updates (ESU) será encerrado em outubro de 2026. Segundo a empresa, não existem planos para criar um novo período de suporte ou ampliar novamente a disponibilidade das atualizações de segurança.
Na prática, isso significa que Exchange Server 2016 e Exchange Server 2019 não receberão mais patches de segurança após o término do programa, independentemente da gravidade das vulnerabilidades descobertas futuramente.
A decisão faz parte da estratégia da Microsoft de concentrar seus investimentos nas plataformas mais recentes, incentivando organizações a migrar para o Exchange Server Subscription Edition (SE) ou para o Microsoft 365 com Exchange Online.
Para departamentos de TI, a mensagem é clara: o prazo para permanecer em versões legadas está chegando ao fim, e o planejamento da migração deve começar imediatamente.
Como o Exchange Server chegou ao fim do ciclo de suporte
Assim como outros produtos corporativos da Microsoft, o Exchange Server segue um ciclo de vida composto por diferentes fases.
Inicialmente, o software recebe suporte principal, período em que são disponibilizados novos recursos, melhorias e correções de segurança. Em seguida, entra na fase de suporte estendido, dedicada principalmente à distribuição de atualizações de segurança.
Após o encerramento desse ciclo, clientes elegíveis puderam aderir ao programa Extended Security Updates (ESU), criado para oferecer uma camada temporária de proteção enquanto as organizações preparavam sua transição para plataformas mais modernas.
Com o fim do Período 2 em outubro de 2026, esse processo será definitivamente encerrado. A Microsoft já deixou claro que não haverá um terceiro ciclo de ESU, tornando essa a data final para o recebimento de atualizações oficiais.
O que acontece quando um servidor deixa de receber atualizações
Quando um servidor corporativo deixa de receber correções de segurança, qualquer vulnerabilidade descoberta posteriormente permanece aberta de forma permanente.
Isso significa que falhas críticas poderão ser exploradas sem que exista uma atualização oficial para corrigi-las.
Embora o Exchange continue funcionando normalmente após outubro de 2026, ele passará a operar em um ambiente cada vez mais vulnerável, especialmente porque servidores de e-mail costumam estar expostos à internet e armazenam informações altamente sensíveis.
Por que manter um Exchange Server desatualizado representa um risco
Os servidores de e-mail estão entre os ativos mais visados por criminosos digitais.
Eles concentram mensagens corporativas, credenciais de autenticação, calendários, documentos compartilhados e diversas informações estratégicas para qualquer organização.
Nos últimos anos, o Microsoft Exchange Server foi alvo de inúmeras campanhas de exploração que utilizaram vulnerabilidades críticas para comprometer milhares de empresas ao redor do mundo.
Após o encerramento das atualizações de segurança, riscos como estes passam a aumentar significativamente:
- Execução remota de código (RCE);
- Roubo de credenciais corporativas;
- Elevação de privilégios;
- Movimentação lateral na rede;
- Implantação de ransomware;
- Espionagem digital;
- Comprometimento de caixas de e-mail corporativas.
Outro fator preocupante é que softwares fora de suporte costumam ser monitorados constantemente por grupos especializados em ataques automatizados. Assim que uma nova vulnerabilidade é divulgada, organizações que utilizam versões descontinuadas tornam-se alvos preferenciais.
Além dos riscos de segurança, empresas podem enfrentar dificuldades para atender requisitos de conformidade, auditorias, certificações e apólices de seguro cibernético, que frequentemente exigem a utilização de softwares oficialmente suportados pelo fabricante.
Quais são as opções de migração recomendadas pela Microsoft
Para evitar esse cenário, a Microsoft recomenda duas alternativas principais.
A primeira é migrar para o Exchange Server Subscription Edition (SE).
Essa nova edição mantém o Exchange em ambiente local, mas adota um modelo moderno de atualizações contínuas por assinatura. Para organizações compatíveis, a migração pode ser realizada por meio de uma atualização in-loco, reduzindo o impacto operacional e simplificando a transição.
A segunda opção consiste em migrar para o Microsoft 365, utilizando o Exchange Online como plataforma de e-mail.
Nesse modelo, toda a infraestrutura passa a ser administrada pela Microsoft, oferecendo benefícios como:
- Atualizações automáticas;
- Correções imediatas de segurança;
- Maior disponibilidade dos serviços;
- Redução da carga administrativa;
- Escalabilidade sob demanda;
- Integração nativa com Teams, SharePoint e demais serviços do Microsoft 365.
Cada organização possui necessidades diferentes. Empresas com requisitos específicos de conformidade ou infraestrutura local podem optar pelo Exchange Server SE, enquanto ambientes que buscam reduzir custos operacionais costumam encontrar no Exchange Online uma alternativa mais eficiente.
Independentemente da escolha, o mais importante é evitar que a migração seja iniciada apenas próximo ao prazo final.
Como preparar sua infraestrutura antes de outubro de 2026
A migração para uma plataforma suportada exige planejamento e testes.
Entre as principais etapas recomendadas para administradores de sistemas estão:
- realizar um inventário completo dos servidores Exchange em operação;
- identificar aplicações e serviços que dependem do ambiente atual;
- validar a compatibilidade com o Exchange Server SE ou Exchange Online;
- revisar certificados digitais e configurações de autenticação;
- atualizar políticas de backup e recuperação de desastres;
- executar testes em ambiente de homologação antes da migração definitiva;
- elaborar um cronograma para minimizar impactos aos usuários.
Quanto maior o ambiente corporativo, maior tende a ser o tempo necessário para concluir esse processo com segurança.
Conclusão
O encerramento definitivo das Atualizações de Segurança Estendidas (ESU) marca o fim de uma etapa importante do ciclo de vida do Exchange Server 2016 e Exchange Server 2019. Sem novas prorrogações previstas, organizações que permanecerem nessas versões deixarão de receber correções de segurança e ficarão mais expostas a ataques cibernéticos.
Mais do que uma atualização tecnológica, a migração para uma plataforma suportada deve ser encarada como uma medida estratégica para preservar a segurança, a disponibilidade e a continuidade das operações de e-mail corporativo.
Se sua empresa ainda utiliza Exchange Server 2016 ou 2019, este é o momento ideal para revisar a infraestrutura, definir uma estratégia de migração e evitar que o fim do programa ESU se transforme em um problema de segurança no futuro.