Fin de soporte de Exchange 2016 y 2019: plan de migración

Exchange Server sigue siendo el corazón del correo en muchas organizaciones españolas, sobre todo en sectores donde el dato no puede salir del propio centro de datos. Y en octubre de 2026 se cierra la última puerta. El fin de soporte de Exchange 2019 y el de Exchange 2016 ya no tiene prórroga posible: el programa de actualizaciones de seguridad extendidas termina este mes y Microsoft ha confirmado que no habrá más extensiones.

Fin de soporte de Exchange 2019 y 2016: qué termina y cuándo

Conviene ordenar las fechas, porque generan confusión:

• Octubre de 2025: fin del soporte extendido de Exchange 2016 y Exchange 2019. A partir de ahí, sin parches gratuitos.
• Octubre de 2025 a abril de 2026: primer periodo del programa de actualizaciones de seguridad extendidas (ESU), de pago y solo con parches críticos e importantes.
• Mayo a octubre de 2026: segundo periodo ESU, con reinscripción y pago aparte.
• Octubre de 2026: fin definitivo. Microsoft ha dicho expresamente que no ampliará más el calendario.

Después de esa fecha, cualquier vulnerabilidad nueva en Exchange 2016 o 2019 quedará abierta para siempre. Y Exchange es uno de los objetivos favoritos de los atacantes: está expuesto a internet, maneja credenciales y concentra información sensible. Las campañas masivas contra servidores Exchange de 2021 son el recordatorio de lo que ocurre cuando un servidor de correo se queda atrás.

Por qué no es solo un problema técnico

En entornos regulados, mantener un servidor sin soporte deja de ser una decisión de TI para convertirse en un riesgo de cumplimiento. NIS2 exige gestionar vulnerabilidades y mantener los sistemas actualizados. DORA pide a las entidades financieras controlar el riesgo de sus activos TIC y de los proveedores. El ENS obliga a mantener la seguridad durante todo el ciclo de vida de los sistemas.

Un auditor que encuentra un Exchange sin parches de seguridad no va a aceptar «lo migramos el año que viene» como medida compensatoria. Lo expliqué con detalle en el artículo sobre gestión de parches y vulnerabilidades con NIS2: el software sin soporte es un hallazgo directo.

Hay además un efecto práctico en entornos híbridos. Exchange Online aplica medidas contra servidores locales desactualizados que le envían correo: primero los limita y, si no se corrige, puede llegar a bloquearlos. Un servidor sin soporte acaba afectando también a la entrega del correo.

Las tres salidas posibles

1. Exchange Server Subscription Edition

Es la única vía para seguir con Exchange en local con soporte. Desde Exchange 2019 con la última actualización acumulativa (CU15), el paso a Exchange SE es una actualización en el mismo servidor, muy parecida a instalar una CU más. Cambia el modelo de licencia: pasa a suscripción, con licencias de servidor y de acceso que requieren un contrato vigente. A cambio, deja de tener fecha fija de fin de vida.

2. Migración a Exchange Online

Para muchas organizaciones es el momento de dar el salto definitivo a la nube. Elimina la carga de parchear servidores, pero exige revisar con cuidado la ubicación de los datos, los requisitos contractuales y, en sectores regulados, el análisis de riesgos de proveedor. No es una decisión que se tome en una semana.

3. Escenario híbrido

Muchas organizaciones mantendrán un servidor local para gestión de identidades o aplicaciones que envían correo, con los buzones en la nube. Ese servidor local también debe estar en una versión con soporte, aunque no aloje buzones.

El caso de Exchange 2016

Quien siga con Exchange 2016 tiene el camino más difícil. No existe actualización directa en el mismo servidor: hay que desplegar servidores nuevos, mover buzones y retirar los antiguos. Antes de empezar, revisa en la documentación de Microsoft qué combinaciones de coexistencia admite la versión de Exchange SE que vas a instalar, porque cambian entre actualizaciones.

Plan de migración en seis pasos

1. Inventario real. Servidores, versiones, CU instaladas, conectores, aplicaciones que envían correo por SMTP, dispositivos multifunción y certificados.
2. Decisión de destino. Exchange SE, Exchange Online o híbrido, con análisis de riesgos, coste a tres años y requisitos regulatorios.
3. Copia de seguridad verificada. Antes de tocar nada, una copia restaurable y probada. Si quieres ir un paso más allá, plantéate copias de seguridad inmutables frente al ransomware.
4. Entorno de pruebas. Valida la actualización o la migración con buzones de prueba y las aplicaciones críticas.
5. Migración por fases. Grupos de usuarios pequeños, ventanas pactadas y vuelta atrás definida.
6. Retirada ordenada. Desinstalación correcta de los servidores antiguos, limpieza de DNS y conectores, y actualización del inventario de activos.

Y si no llegas a tiempo

Si la migración no estará terminada este mes, no lo ocultes: documenta el riesgo, aísla el servidor todo lo posible, restringe el acceso desde internet, refuerza la monitorización y fija una fecha de cierre aprobada por la dirección. Un riesgo aceptado y controlado se puede defender ante un auditor. Un riesgo ignorado, no.

Este mismo patrón se repetirá en enero con otro producto muy extendido, como conté en el artículo sobre el fin de soporte de Windows Server 2016. La lección es la misma: el ciclo de vida del software es un riesgo que se planifica, no una sorpresa.

Conclusión: el último aviso

El fin de soporte de Exchange 2019 y de Exchange 2016 lleva años anunciado y ya no tiene prórroga. Quien siga con estos servidores en producción después de octubre asume un riesgo de seguridad y de cumplimiento que crece cada mes. Hay salida, y es razonable, pero exige plan, pruebas y una decisión de dirección.

Si necesitas planificar la migración de tu correo con garantías y sin interrumpir el negocio, puedo ayudarte a dirigir el proyecto. Hablemos.

Preguntas frecuentes sobre el fin de soporte de Exchange