Microsoft declara «permanentemente vulnerables» a Exchange Server 2016 y 2019 y deja de publicarles parches

Los parches de noviembre solo llegaron a Exchange Server Subscription Edition, entre ellos el de una falla crítica de ejecución remota de código. Microsoft pide migrar de inmediato.

Microsoft advirtió a los clientes que todavía usan Exchange Server 2016 y 2019 que deben considerar ese software «permanentemente vulnerable», ya que los parches de seguridad de noviembre solo llegaron a Exchange Server Subscription Edition (SE), informó The Register el 12 de noviembre de 2026.

La advertencia aparece en la documentación de la actualización de seguridad de noviembre para Exchange Server SE: «Exchange Server 2016 y 2019 ya no se prueban en busca de vulnerabilidades y no se publican actualizaciones. Si usa esas versiones de Exchange, debe considerarlas permanentemente vulnerables y debe actualizar su organización de inmediato».

El soporte de ambas versiones terminó el 14 de octubre de 2025, pero en julio de ese año Microsoft anunció un programa de actualizaciones de seguridad extendidas que debía cerrar el 14 de abril de 2026, y aseguró que ese plazo no se extendería. Al llegar abril, con clientes que seguían en las versiones viejas, la empresa ofreció otros seis meses de actualizaciones pagadas. Las últimas actualizaciones de seguridad para Exchange Server 2016 y 2019 salieron el 13 de octubre.

Según la guía de actualizaciones de seguridad de Microsoft, la actualización de noviembre corrigió nueve vulnerabilidades en Exchange Server SE, entre ellas una falla crítica de ejecución remota de código, CVE-2026-118207. Microsoft no está probando si las versiones anteriores de Exchange tienen esas mismas fallas.

Fuente: The Register: «Microsoft Exchange Server 2016 and 2019 enter their 'permanently vulnerable' era», 12 de noviembre de 2026.