Exchange 2016 ve 2019'un güvenlik desteği 31 Ekim'de bitiyor

Microsoft, Exchange Server 2016 ve Exchange Server 2019 için yürüttüğü Genişletilmiş Güvenlik Güncellemeleri (ESU) programını 31 Ekim 2026 tarihinde sonlandırıyor. Bu tarihten sonra her iki sürüm için de, kritik seviyeli olanlar dahil, hiçbir güvenlik yaması yayımlanmayacak.

Şirket, programın bir kez daha uzatılıp uzatılmayacağına dair sorular üzerine net konuştu: Exchange 2016/2019 ESU programı takviminde başka bir uzatma olmayacak. Nisan 2026'da duyurulan ve altı ay ek süre tanıyan ikinci ESU dönemi bu tarihte kapanıyor. Ekim 2026 Salı yaması, bu iki sürüm için yayımlanan son güvenlik güncellemesi oldu.

Sunucu çalışmaya devam edecek, risk görünmez olacak

Destek bittiğinde e-posta akışı durmuyor. Sunucu dün olduğu gibi mesaj almaya ve göndermeye devam ediyor. İşin zor tarafı tam olarak bu: ortada görünür bir arıza olmadığı için çoğu işletmede konu gündeme gelmiyor. 1 Kasım'dan sonra açıklanacak bir Exchange zafiyeti için üreticiden yama gelmeyecek; kurum ise bunu, bir olay yaşanana kadar fark etmeyebilir.

ESU kapsamının baştan beri dar olduğunu da hatırlatmak gerekiyor. Program yalnızca Exchange 2016 CU23 ile Exchange 2019 CU14 ve CU15 yapılandırmalarını kapsıyordu. Daha eski bir toplu güncelleme (CU) seviyesinde kalmış kurulumlar bugün zaten yamasız durumda. Edge Transport rolü, yönetim araçları ve hibrit bileşenler de aynı takvime tabi.

Türkiye ve KOBİ tarafındaki karşılığı

Türkiye'de kendi sunucu odasını işleten üretim tesisleri, denizcilik ve acente firmaları, inşaat ofisleri ve lojistik şirketlerinde şirket içi Exchange kurulumları halen yaygın. Bu kurumlar için konunun bir de mevzuat boyutu var.

6698 sayılı Kişisel Verileri Koruma Kanunu'nun 12. maddesi, veri sorumlusuna kişisel verilere hukuka aykırı erişimi önlemek amacıyla uygun güvenlik düzeyini sağlama yükümlülüğü getiriyor. Üreticisi tarafından artık yamalanmayan bir posta sunucusunu internete açık tutmak, bir veri ihlali yaşanması hâlinde bu yükümlülüğün değerlendirilmesinde işletmenin aleyhine bir unsur olarak gündeme gelebilir. Posta sunucusu kurumsal yazışmaların tamamını barındırdığı için, olası bir ihlalde etkilenen veri kategorisi de geniş oluyor.

Kamer Bilişim olarak ne öneriyoruz?

• Önce envanteri netleştirin. Kaç Exchange sunucunuz olduğunu, hangi sürüm ve hangi CU seviyesinde çalıştığını, hangi servislerin (OWA, ECP, ActiveSync, Autodiscover) internete açık olduğunu yazılı olarak çıkarın. Pek çok şirkette, artık kullanılmadığı düşünülen eski bir Exchange sunucusunun hâlâ ayakta ve dışarıdan erişilebilir olduğu bu adımda ortaya çıkıyor.
• Geçiş yolunu bu hafta seçin. Microsoft iki yol tarif ediyor: Exchange Server Subscription Edition (SE) sürümüne geçmek ya da Microsoft 365 / Exchange Online tarafına taşınmak. Exchange 2019 üzerinde çalışan sunucular, bir toplu güncelleme kurar gibi yerinde SE'ye yükseltilebiliyor. Exchange 2016 kurulumları ise doğrudan SE'ye geçebilir veya önce 2019 adımından geçebilir.
• 31 Ekim'e yetişemiyorsanız maruziyeti daraltın. Geçiş projesi birkaç haftada bitmiyorsa, bu arada sunucuyu olduğu gibi bırakmayın: OWA ve ECP arayüzlerini internete kapatıp yalnızca VPN üzerinden erişilebilir hâle getirin, posta trafiğini bir mail ağ geçidinin arkasına alın, yönetici hesaplarında çok faktörlü doğrulamayı zorunlu kılın ve posta veritabanı yedeklerinizin geri dönüş testini yapın.

Exchange ortamınızın hangi sürümde olduğunu bilmiyorsanız ya da geçiş için bir yol haritasına ihtiyacınız varsa, İstanbul Anadolu Yakası genelinde yerinde ve uzaktan destek veriyoruz. Mevcut kurulumunuzu birlikte değerlendirmek için iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: BleepingComputer, SC Media, Messaging Architects