Microsoft uyardı: Exchange Server 2016 ve 2019 artık "kalıcı olarak açık"; Kasım yamaları yalnızca Subscription Edition'a
Ek güvenlik güncellemesi (ESU) dönemi sona eren Exchange Server 2016 ve 2019 için Microsoft artık açık testi yapmıyor ve güncelleme yayımlamıyor. Kasım güncellemesi, kritik uzaktan kod çalıştırma açığı CVE-2026-118207 dahil dokuz açığı yalnızca Exchange Server SE'de kapattı.
CVE-2026-118207
Microsoft, hâlâ Exchange Server 2016 ve 2019 kullanan kurumlara bu sürümleri "kalıcı olarak açık" (permanently vulnerable) kabul etmelerini söyledi. The Register'ın aktardığına göre uyarı, Kasım ayı Exchange Server SE güvenlik güncellemesinin sürüm notlarında yer alıyor: Microsoft bu iki sürümü artık açıklara karşı test etmiyor ve güncelleme yayımlamıyor; kullanıcılardan derhal upgrade yapmalarını istiyor.
Kasım güncellemesi Exchange Server SE'de dokuz açığı kapattı; bunlardan biri kritik uzaktan kod çalıştırma açığı CVE-2026-118207 (Kasım Patch Tuesday haberimiz). Microsoft eski sürümlerin bu açıklardan etkilenip etkilenmediğini test etmediği için 2016 ve 2019 sunucularında durum bilinmiyor. Kaynakta bu açığın saldırılarda kullanıldığına dair bilgi yok.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Exchange Server 2016 | Tüm sürümler (destek ve ESU sona erdi) | Yok; güncelleme yayımlanmıyor, Exchange Server SE'ye upgrade |
| Exchange Server 2019 | Tüm sürümler (destek ve ESU sona erdi) | Yok; güncelleme yayımlanmıyor, Exchange Server SE'ye upgrade |
| Exchange Server SE | Kasım 2026 güncellemesi öncesi sürümler | Kasım 2026 Exchange Server SE güvenlik güncellemesi (Üretici bildirimindeki liste) |
Sürüm ve build numaraları için Microsoft Security Update Guide'daki CVE-2026-118207 kaydına ve Exchange Server SE Kasım güncellemesi sürüm notlarına bakın.
Süreç nasıl geldi?
Exchange 2016 ve 2019'un desteği 14 Ekim 2025'te sona ermişti. Microsoft Temmuz 2025'te 14 Nisan 2026'ya kadar süren ücretli bir ESU programı açmış ve bu sürenin uzatılmayacağını söylemişti; Nisan 2026'da ise programı altı ay daha uzattı. Bu iki sürüm için son güvenlik güncellemeleri 13 Ekim 2026'da yayımlandı. The Register'a göre artık yeni bir uzatma da görünmüyor.
Beni etkiliyor mu?
Exchange Management Shell'de, sunucuların sürümünü listeleyen salt okunur komut:
Get-ExchangeServer | Format-Table Name, Edition, AdminDisplayVersionAdminDisplayVersion "Version 15.1" ile başlıyorsa Exchange 2016, "Version 15.2" ile başlıyorsa Exchange 2019 ya da Exchange Server SE olabilir; ayrım için kurulu build numarasını Microsoft'un Exchange build numaraları listesiyle karşılaştırın. İnternete açık OWA, ECP veya EWS uç noktaları olan eski sürüm sunucular en yüksek risk grubundadır.
Ne yapılmalı?
- Exchange 2016/2019 sunucularını envanterden çıkarın ve Exchange Server SE ya da Exchange Online'a geçiş planını takvime bağlayın; geçiş yolu için Microsoft'un Exchange Server SE belgelerini esas alın.
- Geçiş tamamlanana kadar eski sunucuların OWA, ECP ve EWS erişimini internete kapatmayı, erişimi VPN veya reverse proxy arkasına almayı değerlendirin.
- Exchange Server SE kullanıyorsanız Kasım güncellemesini change management sürecinizle uygulayın; Kasım güncellemesi sonrası OWA oturum sorunu bildirimlerini de dikkate alın.
- Eski sunucularda IIS ve Exchange loglarını, beklenmeyen web shell dosyalarını ve olağandışı PowerShell etkinliğini EDR ile izlemeye devam edin.
