Microsoft pide que los servidores Exchange Server 2016 y 2019 se consideren «permanentemente vulnerables». Las últimas actualizaciones de seguridad para ambas versiones salieron el 13 de octubre de 2026, con el fin del programa de pago de actualizaciones extendidas (ESU), y desde entonces la compañía ni las parchea ni las analiza frente a nuevos fallos. Las actualizaciones de noviembre, publicadas el día 10, solo llegaron a Exchange Server Subscription Edition (SE) y corrigen nueve vulnerabilidades, entre ellas una ejecución remota de código crítica, la CVE-2026-118207.
Las claves del fin de Exchange 2016 y 2019 en 30 segundos
- El soporte terminó el 14 de octubre de 2025 y los parches de pago, en octubre de 2026, sin más prórrogas.
- Microsoft ya no prueba esas versiones frente a nuevos fallos ni los menciona en sus avisos.
- Noviembre trajo nueve correcciones solo para Exchange SE, con una ejecución remota de código crítica de puntuación 8,8.
- Cualquier vulnerabilidad nueva que afecte a Exchange 2016 o 2019 quedará sin corregir.
La expresión aparece en el anuncio de las actualizaciones de noviembre del equipo de Exchange, que recuerda que ambas versiones están fuera de soporte, que el programa ESU ha terminado y que hay que actualizar de inmediato. Es un paso más respecto al anuncio de octubre, donde Microsoft ya advertía de que dejar de publicar parches no significaba que esas versiones no fueran vulnerables a problemas futuros.
De fin de soporte a fin de parches
Exchange 2016 y 2019 alcanzaron el final de su soporte extendido el 14 de octubre de 2025. Microsoft ofreció entonces un primer periodo de actualizaciones de pago hasta abril de 2026 y, cuando se acercaba ese límite, anunció el 15 de abril un segundo periodo de seis meses, válido de mayo a octubre de 2026, para Exchange 2016 CU23 y Exchange 2019 CU14 y CU15. En julio, el equipo de Exchange dejó claro que no habría una tercera ampliación.
El 13 de octubre, con el Patch Tuesday, llegaron los últimos parches para ambas versiones, y también para Skype for Business Server 2015 y 2019. Según el anuncio de octubre, a partir de ese mes solo se publicarán actualizaciones para Exchange SE, los avisos y los CVE dejarán de mencionar Exchange 2016 y 2019, y Microsoft dejará de probarlos frente a vulnerabilidades. La compra del segundo periodo de ESU sigue abierta durante un tiempo limitado, pero solo sirve para obtener los parches publicados hasta octubre.
La consecuencia práctica es que un fallo nuevo que afecte al código común de Exchange se corregirá en SE, pero no en 2016 ni en 2019, y ni siquiera aparecerá documentado como aplicable a esas versiones. El parche de SE, además, puede servir a los atacantes para localizar el fallo y probarlo contra los servidores antiguos.
Noviembre: nueve fallos corregidos, solo en Exchange SE
La actualización de noviembre para Exchange SE es la KB5133453 (Subscription Edition RTM SU12). Corrige nueve vulnerabilidades: dos de ejecución remota de código (CVE-2026-118149 y CVE-2026-118207), cuatro de elevación de privilegios (CVE-2026-118150, CVE-2026-118151, CVE-2026-118154 y CVE-2026-118157), dos de suplantación (CVE-2026-118152 y CVE-2026-118208) y una de denegación de servicio (CVE-2026-118153).
La más grave es la CVE-2026-118207, la única calificada como crítica, con una puntuación CVSS de 8,8. Según el resumen de IT-Connect, permite a un atacante autenticado, incluso con una cuenta de pocos privilegios, ejecutar código en el servidor enviando una petición maliciosa, y Microsoft la marca como de explotación «más probable». Los investigadores de Automox la situaron en la ventana de parcheo de urgencia para cualquier servidor Exchange SE. No consta que se esté explotando.
Los administradores de Exchange también deben instalar las actualizaciones de noviembre de Windows Server. Microsoft indica que resuelven la inestabilidad que las actualizaciones de octubre de Windows Server podían causar en Exchange, algo que el parche de Exchange no corrige, y que el orden de instalación da igual. En los comentarios del anuncio algunos usuarios han señalado problemas tras instalar SU12, como un certificado TLS desasignado de IMAP y POP3, que Microsoft no ha confirmado.
Qué hacer si todavía hay un Exchange 2016 o 2019
La exposición no es teórica. Exchange es uno de los objetivos favoritos tanto de grupos criminales como de espionaje, como muestra el reciente análisis de las herramientas Cereal atribuidas a Turla. Y el ritmo de parcheo es lento: a 31 de agosto, la Shadowserver Foundation contaba 21.899 direcciones IP con Exchange expuesto a internet y sin el parche de la CVE-2026-62911, un fallo de agosto con código de explotación público, unas 6.200 en Estados Unidos y 5.100 en Alemania. Según heise, el CERT alemán solo localizó nueve servidores Exchange 2016 o 2019 en todo el país con compilaciones de ESU.
Microsoft recomienda actualizar a Exchange SE cuanto antes o migrar a Exchange Online. Mientras dure la transición, las medidas razonables son:
- Inventariar todos los servidores Exchange, incluidos los que quedaron en entornos híbridos solo para gestión, con el script Health Checker de Microsoft.
- Sacar de internet los servidores 2016 y 2019 o, como mínimo, limitar el acceso a OWA, ECP y EWS mediante VPN o un proxy con autenticación previa.
- Instalar las últimas actualizaciones de octubre en los servidores que tengan ESU, porque serán las últimas.
- Aplicar las actualizaciones de noviembre de Exchange SE y de Windows Server en los servidores ya migrados.
- Vigilar cuentas con privilegios bajos y accesos anómalos, porque fallos como la CVE-2026-118207 solo requieren una cuenta autenticada.
Exchange 2016 y 2019 seguirán funcionando, pero cada nuevo Patch Tuesday de Exchange SE dará a los atacantes una pista de dónde buscar en ellos.
Preguntas frecuentes
¿Sigue habiendo parches para Exchange 2016 y 2019?
No. Los últimos se publicaron el 13 de octubre de 2026 para los clientes del segundo periodo de ESU. Microsoft ya no prueba ni corrige nuevas vulnerabilidades en esas versiones.
¿Qué es la CVE-2026-118207?
Una vulnerabilidad crítica de ejecución remota de código en Exchange SE, con CVSS 8,8, que puede explotar un usuario autenticado con pocos privilegios. Se corrige con la KB5133453.
¿Afecta la CVE-2026-118207 a Exchange 2016 y 2019?
Microsoft no lo indica porque ha dejado de evaluar esas versiones. Que no aparezcan en el aviso no significa que no estén afectadas.
¿A qué se puede migrar?
A Exchange Server Subscription Edition, en local, o a Exchange Online, en la nube de Microsoft.
Fuentes:
- Microsoft Exchange Team: Released: November 2026 Exchange Server Security Updates
- Microsoft Exchange Team: Released: October 2026 Exchange Server Security Updates
- Microsoft: KB5133453, actualización de seguridad de Exchange Server SE
- IT-Connect: Patch Tuesday de noviembre de 2026
- BleepingComputer: casi 22.000 servidores Exchange sin parchear
