C’è una domanda che molti titolari non si sono mai fatti: dove gira, fisicamente, la posta della tua azienda? Se la risposta è “su un server in ufficio” o “dal nostro fornitore IT, su una macchina dedicata”, questa notizia ti riguarda. Microsoft ha confermato ufficialmente che il programma di aggiornamenti di sicurezza estesi (ESU) per Exchange Server 2016 e 2019 termina a ottobre 2026, e stavolta senza ulteriori proroghe — quella di sei mesi concessa ad aprile era l’ultima.
Dopo quella data, i due prodotti restano accesi e funzionanti. Semplicemente, nessuno chiuderà più le falle che verranno scoperte.
Perché non è una notizia da tecnici
Un server di posta senza patch non è come un gestionale vecchio che continua a fare il suo lavoro in un angolo. Exchange è esposto su internet per natura — deve ricevere email dal mondo — ed è storicamente uno dei bersagli preferiti dei criminali informatici: le campagne di attacco contro server Exchange non aggiornati hanno riempito le cronache degli ultimi anni. Un’installazione che smette di ricevere correzioni diventa, mese dopo mese, una porta con una serratura che nessuno ripara più.
Per una PMI il rischio non è teorico: dalla posta passano fatture, ordini, credenziali, rapporti con clienti e banche. È il posto peggiore dove tenere una vulnerabilità nota.
Il programma Extended Security Updates termina a ottobre 2026 senza ulteriori estensioni, come confermato dal team Exchange di Microsoft. Dopo quella data le nuove vulnerabilità scoperte non verranno più corrette su queste versioni.
Fonte: Microsoft Exchange Team Blog, BleepingComputer — luglio 2026
Le due strade per migrare
I percorsi indicati sono due, con costi e logiche diverse:
- Exchange Online / Microsoft 365 — la posta passa nel cloud Microsoft, in abbonamento. Per la maggior parte delle PMI è la strada più semplice: niente più server da mantenere, aggiornamenti inclusi, ed è il percorso che i fornitori IT conoscono meglio.
- Exchange Server Subscription Edition — per chi ha ragioni vere per tenere la posta in casa (vincoli normativi, integrazioni particolari, connettività). Attenzione al dettaglio tecnico che cambia i tempi: da Exchange 2019 l’aggiornamento è diretto; da Exchange 2016 serve un passaggio intermedio, quindi il progetto è più lungo.
Chi parte da Exchange 2016 ha, in pratica, la scadenza più stretta di tutti: due migrazioni al prezzo di una, da chiudere entro ottobre.
Microsoft 365 elimina il server da mantenere ed è il percorso standard per le PMI; la Subscription Edition tiene la posta in casa ma richiede l'upgrade del server, diretto da Exchange 2019 e con un passaggio intermedio da Exchange 2016. In entrambi i casi, iniziare a settembre è troppo tardi.
La telefonata da fare questa settimana
Non serve capire di server: serve fare al proprio fornitore IT tre domande precise.
- La nostra posta gira su Exchange 2016 o 2019? Se la risposta è no (siete già su Microsoft 365 o altro provider cloud), fine della storia: questa scadenza non vi tocca.
- Se sì: qual è il piano e la data di migrazione? Un progetto di migrazione posta per una PMI si fa comodamente in qualche settimana — ma va pianificato, tra caselle, archivi, domini e firme.
- Cosa succede ai vecchi archivi? Le PST dimenticate e le caselle di ex dipendenti vanno censite prima, non scoperte a migrazione in corso.
In breve
Microsoft ha confermato che Exchange 2016 e 2019 restano senza patch da ottobre 2026, senza altre proroghe. Chi ha la posta su questi server ha meno di tre mesi per scegliere tra Microsoft 365 e Subscription Edition (con il passaggio intermedio in più per chi parte dal 2016). La mossa giusta è una telefonata al fornitore IT questa settimana: un server di posta senza aggiornamenti, per un’impresa, non è un risparmio — è un rischio con le fatture dentro.