Exchange 2016 y 2019: los últimos parches se acaban este mes

Si el correo de tu empresa vive todavía en un servidor Exchange 2016 o 2019 instalado en vuestras oficinas, octubre de 2026 es el último mes en que ese servidor recibe parches. Microsoft ya concedió una prórroga y ha dejado claro que no habrá otra. A partir de noviembre, cada fallo que se descubra quedará abierto.

Cómo hemos llegado hasta aquí

Exchange 2016 y 2019 terminaron su soporte oficial el 14 de octubre de 2025. Desde ese día, solo recibían parches las organizaciones adheridas a un programa de actualizaciones extendidas, una especie de prórroga de pago pensada para dar margen a quien no había terminado de migrar.

Microsoft ya amplió ese programa una vez, en abril de 2026, con un segundo periodo de seis meses. Muchas empresas lo interpretaron como una señal de que, llegado el momento, habría una tercera oportunidad. No la habrá.

El mensaje del equipo de Exchange: se acabó

El equipo de Exchange ha sido claro: no habrá una nueva ampliación. Cuando termine octubre de 2026, Exchange 2016 y 2019 dejarán de recibir actualizaciones, incluso para quienes pagaron ese segundo periodo. No hay contrato, licencia ni acuerdo especial que lo cambie.

Conviene entender qué significa esto en la práctica. El servidor no se apagará el 1 de noviembre. El correo seguirá entrando y saliendo, Outlook seguirá abriendo y nadie en la oficina notará nada. Ese es precisamente el peligro: el problema es invisible hasta el día en que deja de serlo.

Un servidor de correo sin parches no avisa: funciona perfectamente hasta el día en que trabaja para otro.

Por qué Exchange es una diana tan apetecible

Exchange es uno de los objetivos favoritos de los atacantes, y no por casualidad. Reúne tres características que lo convierten en una pieza codiciada:

• Está expuesto a internet. Tiene que estarlo para recibir correo y para que la plantilla lo consulte desde el móvil o desde casa, así que cualquiera puede llamar a su puerta.
• Guarda el correo de toda la empresa. Facturas, contratos, conversaciones con clientes, datos de nóminas: todo lo que circula por la organización acaba pasando por él.
• Ha sufrido fallos graves en los últimos años. Su historial demuestra que los atacantes lo estudian con detenimiento y que, cuando aparece una vulnerabilidad, la aprovechan rápido.

Un servidor sin parches es una puerta que se queda abierta para siempre. Imagina una empresa de 40 personas cuyo servidor sigue intacto en diciembre. El primer fallo serio que se publique después de octubre no tendrá corrección para su versión, y la única defensa será confiar en que nadie lo intente.

Las dos salidas, explicadas sin tecnicismos

Llevar el correo a Exchange Online

Exchange Online es el correo de Microsoft 365: el mismo Exchange, pero funcionando en los centros de datos de Microsoft. Es la opción más habitual en pymes, y por buenos motivos. Desaparece el servidor que hay que mantener, con sus actualizaciones, sus discos y sus sustos, y se gana en protección del correo, porque Microsoft aplica los parches por su cuenta. Para la plantilla, el cambio suele reducirse a volver a abrir Outlook.

Actualizar a Exchange Server Subscription Edition

Si por motivos de negocio, normativa o integración con otras aplicaciones necesitáis mantener el correo en vuestras instalaciones, la única versión local con soporte es Exchange Server Subscription Edition (SE). El camino depende de dónde partáis:

• Desde Exchange 2019 se puede actualizar sobre el mismo servidor, de forma parecida a instalar una actualización acumulativa, es decir, uno de esos paquetes grandes que Microsoft publica periódicamente con todas las correcciones juntas.
• Desde Exchange 2016 hay que instalar primero Exchange 2019 o migrar directamente a SE.

Un matiz importante para quien lleva las cuentas: a diferencia de las versiones anteriores, que se compraban una vez, SE se paga por suscripción. Conviene tenerlo en cuenta al comparar las dos opciones.

Tu lista para esta semana

No hace falta resolverlo todo en siete días, pero sí dar los pasos que evitan improvisar después:

1. Haz inventario. Confirma qué versión de Exchange tenéis y si hay servidores olvidados, como el que solo envía correos de aplicaciones o escáneres.
2. Comprueba los parches. Asegúrate de que está instalado el último parche disponible. Será el último, así que no tiene sentido quedarse con uno anterior.
3. Elige camino y pon fecha. Exchange Online o Exchange SE, pero con un calendario concreto y un responsable.
4. Cierra lo que sobra. Mientras llega la migración, limita al máximo lo que el servidor expone a internet: cuanto menos se vea desde fuera, menos superficie para un ataque.

Cómo elegir sin equivocarse

La decisión rara vez es puramente técnica. Pregúntate cuánto tiempo dedica hoy alguien de tu equipo a mantener el servidor, qué pasaría si se estropeara un viernes por la tarde y si hay una razón real, más allá de la costumbre, para seguir teniéndolo en casa. Para la mayoría de pymes, las respuestas apuntan a Exchange Online. Para algunas, con requisitos concretos, Exchange SE es la opción sensata. Lo que no tiene defensa es quedarse donde se está.

En OLATIC hemos migrado correo de Exchange local a Microsoft 365 sin perder mensajes ni dejar a nadie sin servicio, trasladando buzones por tandas y fuera del horario laboral. Si a tu empresa le encaja mejor seguir en local, también te acompañamos en el paso a Exchange SE, incluido ese servidor olvidado que casi siempre aparece.

Fuentes

• BleepingComputer: Microsoft Exchange 2016 and 2019 ESU program ends in October (22/07/2026)