Exchange 2016 ve 2019'a son yama: Kasım'dan sonra güncelleme yok

Microsoft, 13 Ekim 2026'da dağıttığı güncelleme paketiyle Exchange Server 2016 ve Exchange Server 2019 için son güvenlik güncellemesini yayımladı. Paket altı güvenlik açığını kapatıyor: biri uzaktan kod çalıştırma, dördü yetki yükseltme, biri de sahtecilik (spoofing) kategorisinde. Kasım 2026 yama döngüsünden itibaren bu iki sürüm için yeni yama çıkmayacak.

Exchange Server 2016 ve 2019'un olağan destek süresi 14 Ekim 2025'te bitmişti. Microsoft, kurumlara geçiş için pay tanıyan Genişletilmiş Güvenlik Güncellemeleri (ESU) programını iki dönem halinde yürüttü. İkinci dönem Mayıs 2026'da başladı ve Ekim 2026 sonunda kapanıyor. Microsoft, üçüncü bir dönem olmayacağını açıkça duyurdu.

Neden önemli?

Yama akışının kesilmesi, sunucunun bir gecede çökmesi anlamına gelmiyor. Sorun, bundan sonra bulunacak açıkların hiç kapatılmayacak olması. Microsoft, Kasım ayından itibaren bu sürümleri test etmeyeceğini ve MSRC güvenlik duyurularında listelemeyeceğini belirtiyor. Yeni bir Exchange açığı çıktığında, kurumsal mail sunucusunun etkilenip etkilenmediğini söyleyecek resmî bir kaynak dahi olmayacak.

Exchange sunucuları saldırganlar için öncelikli hedef: internete açık bir Outlook Web Access arayüzü, Active Directory ile sıkı bir entegrasyon ve kurumun tüm yazışması aynı makinede duruyor. Geçmiş yıllardaki ProxyLogon ve ProxyShell dalgalarında yamasız Exchange sunucuları üzerinden kurum ağlarına girildi. Aynı senaryonun kalıcı olarak yamasız kalacak bir sürümde tekrarlanması için teknik bir engel yok.

Türkiye ve KOBİ tarafındaki karşılığı

Türkiye'de pek çok KOBİ hâlâ kendi binasındaki fiziksel sunucuda Exchange çalıştırıyor. İnşaat ofisleri, denizcilik ve acente firmaları, lojistik şirketleri için kurumsal mail yalnızca bir iletişim aracı değil; sözleşmenin, teklifin ve yük evrakının saklandığı yer. Bu yazışmalar aynı zamanda KVKK kapsamında kişisel veri içeriyor. Veri sorumlusunun 6698 sayılı Kanun'un 12. maddesi uyarınca uygun güvenlik düzeyini sağlama yükümlülüğü bulunuyor; desteği bitmiş ve artık yama almayan bir mail sunucusunu çalıştırmaya devam etmek, olası bir veri ihlali sonrasında savunulması zor bir tablo oluşturuyor.

Bu ayın güncellemesinde ikinci bir pratik ayrıntı daha var. Ekim 2026 Windows güvenlik güncellemesinin (KB5126646) ardından bazı yerel Exchange sunucularında OWA oturum açma sorunları, Outlook'tan gönderilen iletilerin Giden Kutusu'nda takılı kalması ve posta kutusu replikasyonu hataları bildirildi. Geçiş planlayan kurumların yama takvimini bu bilinen sorunu gözeterek kurgulaması gerekiyor.

Kamer Bilişim olarak ne öneriyoruz?

• Önce envanter çıkarın. Hangi sunucuda hangi Exchange sürümü ve hangi CU çalışıyor, kaç posta kutusu var, kaç GB veri taşınacak? Exchange 2019 CU14 veya CU15 kullanıyorsanız Subscription Edition'a yerinde yükseltme destekleniyor. Exchange 2016'da bu mümkün değil; yeni bir SE sunucusu kurup posta kutularını taşımak gerekiyor. İki senaryonun süresi ve maliyeti birbirinden çok farklı.
• Ekim yamasını mutlaka uygulayın, sonra geçişi planlayın. Ekim güncellemesi bu sürümlerin alabileceği son yama; uygulanmazsa altı açık da açık kalıyor. Yamayı geçtikten sonra Exchange Subscription Edition'a taşınmak mı, Microsoft 365 / Exchange Online'a çıkmak mı istediğinize karar verin. Lisans maliyeti, bant genişliği ve verinin nerede duracağına dair tercih bu kararı belirliyor.
• Geçiş tamamlanana kadar saldırı yüzeyini küçültün. Dışa açık OWA ve ActiveSync erişimini IP kısıtı veya VPN arkasına alın, yönetici hesaplarında çok faktörlü doğrulamayı zorunlu kılın, güvenlik duvarında Exchange'e giden trafiği denetleyin ve posta kutusu yedeklerinin geri yükleme testini yapın. Yamasız geçecek her hafta için bu katmanlar tek savunmanız olacak.

Mail sunucunuzun hangi senaryoya girdiğini birlikte netleştirebilir, envanter ve geçiş planını çıkarabiliriz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz. İletişim sayfasından bize ulaşabilirsiniz.

Kaynak: Microsoft Exchange Team Blog, Messageware, WindowsForum