Exchange Server 2016 e 2019: outubro de 2026 foi a última atualização de segurança. E agora?
O fim do suporte do Exchange 2019 e do Exchange 2016 chegou ao último capítulo. Em 13 de outubro de 2026, a Microsoft lançou a atualização de segurança final para essas duas versões. Daqui em diante, nenhuma correção nova vai sair para elas, nem mesmo para quem pagou o programa de atualizações estendidas.
E tem um detalhe que muda tudo: a partir de agora, os comunicados de segurança da Microsoft vão parar de citar o Exchange 2016 e 2019. A própria Microsoft avisou que isso não significa que essas versões estejam seguras. Significa só que ninguém vai mais testar nem avisar.
Neste artigo, explico o que aconteceu, quais falhas foram corrigidas na última atualização, por que o tema pesa mais para pequenas e médias empresas e quais são os caminhos oficiais: Exchange Server SE ou Exchange Online.
O que aconteceu com o Exchange Server 2016 e 2019
O Exchange Server 2016 e o 2019 saíram do suporte em 14 de outubro de 2025. Para dar mais tempo a quem ainda não tinha migrado, a Microsoft criou um programa pago de atualizações de segurança estendidas, o ESU (Extended Security Update), em duas etapas:
- Period 1: de outubro de 2025 a abril de 2026.
- Period 2: de maio a outubro de 2026, cobrindo o Exchange 2016 CU23 e o Exchange 2019 CU14 e CU15. Era uma compra nova e separada, mesmo para quem já tinha o Period 1.
Em 13 de outubro de 2026, a equipe do Exchange confirmou que esta foi a última leva de atualizações do programa e que não haverá Period 3. Além disso, a Microsoft informou que vai parar de testar o Exchange 2016 e 2019 contra vulnerabilidades. Ou seja, uma falha descoberta em novembro pode afetar essas versões, e o comunicado oficial simplesmente não vai mencioná-las.
Mesmo a recomendação da própria Microsoft é clara. No anúncio do Period 2, a equipe do Exchange disse que preferia não vender o programa a ninguém e pediu que os clientes migrem.
As falhas corrigidas na última atualização de segurança do Exchange
O pacote de 13 de outubro corrigiu seis vulnerabilidades no Exchange Server. Conferi cada uma no Guia de Atualizações de Segurança do MSRC, a área de segurança da Microsoft:
| Vulnerabilidade | Tipo | Gravidade | CVSS | Avaliação da Microsoft |
|---|---|---|---|---|
| CVE-2026-70571 | Execução remota de código | Crítica | 8,1 | Exploração mais provável |
| CVE-2026-70279 | Falsificação | Importante | 9,3 | Exploração mais provável |
| CVE-2026-77910 | Elevação de privilégio | Importante | 8,8 | Exploração menos provável |
| CVE-2026-87692 | Elevação de privilégio | Importante | 7,8 | Exploração menos provável |
| CVE-2026-87695 | Elevação de privilégio | Importante | 7,8 | Exploração menos provável |
| CVE-2026-87696 | Elevação de privilégio | Importante | 7,5 | Exploração menos provável |
A que mais chama atenção é a CVE-2026-70571. Segundo a Microsoft, um atacante sem login pode enviar um e-mail preparado para o servidor Exchange e, ao acionar um processo interno de conversão de conteúdo, executar código no servidor. Ninguém precisa clicar em nada. A Microsoft ressalva que o ataque exige conhecimento profundo do ambiente e não tem sucesso garantido. Mesmo assim, ela classificou a exploração como mais provável.
Já a CVE-2026-70279 depende de alguém clicar em um link preparado. Se quem clicar for um administrador, o atacante pode agir com os privilégios dele.
Além disso, em 2 de outubro a Microsoft já tinha liberado uma correção fora do calendário, a CVE-2026-96940. Ela permitia que um usuário autenticado lesse e-mails e anexos de outras caixas da mesma empresa. No Exchange Online, a Microsoft corrigiu do lado do serviço, sem o cliente fazer nada. Quem tem servidor local precisou instalar a atualização.
Os pacotes de outubro saíram para o Exchange Server SE RTM (KB5128895), para o Exchange 2019 CU15 (KB5128896) e CU14 (KB5128897) e para o Exchange 2016 CU23 (KB5128898). Os de 2016 e 2019 só ficaram disponíveis para quem comprou o ESU.
Por que o fim do suporte do Exchange 2019 pesa mais para as PMEs
Aqui está o ponto que pouca gente percebeu. O ESU do Exchange exigia um Enterprise Agreement (EA) com a Microsoft e era comprado pelo time de contas da própria Microsoft. Ele não vinha incluído em licenciamento por volume nem em Software Assurance.
Na prática, a grande maioria dos escritórios de advocacia, de contabilidade e das pequenas empresas não tem EA. Portanto, quem é PME e ainda roda Exchange 2016 ou 2019 provavelmente está sem correção de segurança desde outubro de 2025. Ou seja, um ano inteiro de falhas acumuladas, incluindo as desta lista.
Existe ainda um efeito colateral. A Microsoft já limita ou bloqueia e-mails enviados ao Exchange Online por servidores Exchange muito desatualizados. Hoje, instalar as atualizações públicas de outubro de 2025 resolve esse bloqueio, mas a própria Microsoft avisa que um dia essas também serão bloqueadas. Como boa parte dos clientes e fornecedores de qualquer empresa usa Microsoft 365, isso pode virar e-mail que não chega.
No servidor local, quem corrige é a sua equipe. Na nuvem, o fornecedor corrige por você.
Os caminhos depois do fim do suporte do Exchange 2019 e 2016
São dois caminhos oficiais, e é possível combinar os dois em um ambiente híbrido.
Caminho 1: Exchange Server SE
O Exchange Server Subscription Edition (SE) é a única versão local do Exchange que continua recebendo atualizações. Segundo o Microsoft Learn, a versão RTM do SE tem o mesmo código do Exchange 2019 CU15, com mudanças pontuais como o nome do produto.
- Quem está no Exchange 2019 CU14 ou CU15 pode fazer o upgrade in-place, direto no mesmo servidor, para o Exchange Server SE.
- Quem está no Exchange 2016 não pode fazer o upgrade in-place. Precisa primeiro de uma migração (legacy upgrade) para o Exchange 2019 CU14 ou CU15, ou de uma migração direta para o Exchange Server SE em servidores novos.
O SE segue o modelo de assinatura da Microsoft. Por isso, além da migração técnica, é preciso rever o licenciamento dos servidores e das licenças de acesso dos usuários.
Caminho 2: Exchange Online
No Exchange Online, o e-mail passa a rodar na nuvem da Microsoft, incluído nos planos do Microsoft 365 para empresas. A empresa deixa de ter servidor, hardware, sistema operacional e atualizações de Exchange para administrar. E, como mostra o caso da CVE-2026-96940, as correções acontecem do lado do serviço.
Além disso, migrar o e-mail para o Microsoft 365 abre caminho para o restante da plataforma: Teams, OneDrive, SharePoint e o Microsoft 365 Copilot, que trabalha com os dados que estão na nuvem.
Como escolher
| Pergunta | Exchange Server SE | Exchange Online |
|---|---|---|
| Quem aplica as correções de segurança? | A sua equipe de TI | A Microsoft, no serviço |
| Precisa manter servidor e hardware? | Sim | Não |
| Exige licenciamento por assinatura? | Sim, dos servidores e dos acessos | Sim, por usuário, nos planos do Microsoft 365 |
| Faz sentido quando… | Há exigência legal ou contratual de manter os dados em servidor próprio | A empresa quer reduzir infraestrutura e risco operacional |
Para a maioria das PMEs, o Exchange Online tende a ser o caminho mais simples. O SE faz sentido em cenários específicos, quando há um motivo concreto para manter o e-mail dentro de casa.
O que muda para empresas e profissionais
Para as empresas, a decisão deixou de ser técnica. Manter o Exchange 2016 ou 2019 rodando agora é uma escolha de risco: o servidor guarda e-mails de clientes, contratos e documentos, e a LGPD exige medidas de segurança adequadas para proteger dados pessoais. Servidor sem correção é difícil de justificar para um cliente exigente, para a seguradora ou depois de um incidente.
Além disso, o fim do suporte é uma oportunidade de rever o modelo inteiro. Muitas empresas mantêm o Exchange local por hábito, e não por necessidade. A migração é o momento de levar também os arquivos para o OneDrive e o SharePoint, padronizar o licenciamento e reduzir a dependência de um servidor físico no escritório. Fiz a mesma análise para o pacote Office no artigo sobre o fim do suporte do Office 2021 e do Windows 11 24H2.
Para os profissionais de TI, a mudança é de papel. Em vez de passar o mês aplicando atualizações em servidor de e-mail, o trabalho passa a ser governança, segurança de identidade e adoção das ferramentas. É um trabalho que gera mais valor para o negócio.
Checklist: o que fazer agora
- Descubra a versão: no Exchange Management Shell, o comando
Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersionmostra a versão de cada servidor. - Se tiver ESU, instale o pacote de outubro (KB5128896, KB5128897 ou KB5128898). Ele é o último.
- Se não tiver ESU, trate o servidor como exposto e reduza a superfície: revise o que está publicado na internet e restrinja o acesso administrativo.
- Escolha o caminho: Exchange Server SE ou Exchange Online, de acordo com as exigências do negócio.
- Planeje a migração com data: caixas de correio, conectores, certificados, DNS e integrações com sistemas internos.
- Prepare os usuários: uma orientação curta sobre o que muda no Outlook evita chamados no dia seguinte.
E se a sua empresa ainda está avaliando o uso real da plataforma, vale ler se a sua empresa realmente usa o Microsoft 365 ou apenas paga por ele.
Perguntas frequentes sobre o fim do suporte do Exchange 2019 e 2016
O Exchange 2019 vai parar de funcionar?
Não. O servidor continua enviando e recebendo e-mails. O que acabou foram as correções de segurança, as correções de falhas e o suporte técnico da Microsoft.
Ainda dá para comprar o ESU do Exchange?
Por um tempo limitado, a Microsoft mantém a venda do Period 2, mas ele só dá acesso às atualizações lançadas até outubro de 2026. Não haverá novas correções depois disso.
Dá para atualizar o Exchange 2016 direto para o Exchange Server SE?
Não no mesmo servidor. O upgrade in-place só é suportado a partir do Exchange 2019 CU14 ou CU15. Do 2016, é preciso migrar para servidores novos, com Exchange 2019 ou com o próprio Exchange Server SE.
Quem usa Exchange Online precisa fazer alguma coisa?
Não para essas atualizações. A Microsoft corrige o Exchange Online do lado do serviço. Quem tem ambiente híbrido, porém, deve manter atualizados os servidores locais que ainda existem, inclusive os mantidos só para gerenciamento.
Próximos passos
O fim do suporte do Exchange 2019 e 2016 não é um apagão. É um ponto sem volta. Quanto mais tempo o servidor fica sem correção, maior a lista de falhas que ninguém vai mais divulgar.
Se a sua empresa precisa descobrir a versão do Exchange, escolher entre Exchange Server SE e Exchange Online e migrar o e-mail sem parar o trabalho, a VisionShare Tecnologia faz o diagnóstico, o licenciamento Microsoft 365 e a migração. E, para a equipe aproveitar o Outlook, o Teams e o restante da plataforma, a VisionShare Treinamentos tem cursos práticos de Microsoft 365.
Fontes
- Microsoft Exchange Team Blog: Released: October 2026 Exchange Server Security Updates (13/10/2026)
- Microsoft Exchange Team Blog: Announcing Period 2 Exchange 2016/2019 Extended Security Update (ESU) program (atualizado em 13/10/2026)
- Microsoft Security Response Center: CVE-2026-70571
- Microsoft Security Response Center: CVE-2026-96940
- Microsoft Learn: What’s new in Exchange Server SE
Descubra mais sobre Mauricio Cassemiro
Assine para receber nossas notícias mais recentes por e-mail.
