Wat er verandert
Microsoft heeft het nog eens bevestigd. Het Extended Security Update programma voor Exchange 2016 en 2019 stopt eind oktober 2026 en er komt geen verlenging meer, ook niet voor wie ervoor betaalt. Een kwetsbaarheid die in november gevonden wordt, blijft gewoon voor altijd open staan.
Beide versies zijn al sinds oktober 2025 officieel uit support. Wie meer tijd nodig had kon tegen betaling in het ESU-programma, eerst tot april 2026, daarna kwam er een tweede periode bij tot en met oktober. Microsoft zegt er zelf eerlijk bij dat er echt geen derde komt. De ESU dekt bovendien alleen Critical en Important security fixes, geen bugfixes en geen supporttickets.
Waarom dit geen detail is
Een ongepatchte Exchange server is zo ongeveer het aantrekkelijkste doelwit dat je een aanvaller kunt geven. Wie ProxyLogon en ProxyShell nog herinnert weet hoe snel het gaat als er een lek in Exchange zit. Toen werden wereldwijd tienduizenden servers binnen dagen overgenomen. Alleen kwam er toen nog een patch. Straks niet meer.
De server blijft na oktober gewoon draaien, en dat is precies het gevaar. Alles lijkt in orde, mail stroomt binnen, niemand klaagt. Tot het misgaat.
Wat zijn de opties
Draai je Exchange 2019 CU14 of CU15, dan is de overstap naar Exchange Server SE een in-place upgrade, vergelijkbaar met het installeren van een CU. Dit is de snelste route.
Draai je Exchange 2016, dan kan er geen in-place upgrade naar SE. Eerst naar 2019, of pak het moment en migreer direct naar Exchange Online.
Zit je in het ESU-programma, zie dat als je laatste verlenging en niet als een oplossing. Check ook je hybride omgevingen, daar staat vaak nog een vergeten Exchange voor het beheer die in dezelfde boot zit.
Mijn advies, behandel dit vanaf nu als een lopend project en niet als iets voor het najaar. Een Exchange-migratie heeft doorlooptijd, en oktober klinkt ver weg maar is het niet.