Merhaba
Microsoft, Exchange Server 2016 ve 2019 ile Skype for Business Server 2015 ve 2019 için sunduğu ücretli Genişletilmiş Güvenlik Güncellemesi (Extended Security Update, ESU) programını Ekim 2026 itibarıyla sonlandırdı. Bu ürünler için son güvenlik güncellemeleri Ekim 2026 Salı Yaması kapsamında yayımlandı ve yalnızca ESU Period 2 sözleşmesi olan kuruluşlara iletildi. Bu yazıda sürecin nasıl geliştiğini, Ekim 2026 sonrasında neyin değiştiğini ve hâlâ bu sürümleri çalıştıran kuruluşların ne yapması gerektiğini özetliyorum.
Kısaca ne oldu?
- Exchange Server 2016 ve 2019 ile Skype for Business Server 2015 ve 2019, 14 Ekim 2025’te genişletilmiş destek sonuna ulaştı.
- Microsoft ilk aşamada altı aylık bir ESU programı sundu (Period 1). Ardından 15 Nisan 2026’da, 1 Mayıs 2026 ile 31 Ekim 2026 arasını kapsayan ikinci bir program (Period 2) duyurdu.
- Period 2 için herhangi bir uzatma yapılmayacağı Microsoft tarafından açıkça belirtildi.
- Ekim 2026 güncellemeleri bu ürünler için yayımlanan son güvenlik güncellemeleri oldu.
- Bu tarihten sonra Exchange Server Subscription Edition (SE) ve Skype for Business Server Subscription Edition (SE), güvenlik güncellemesi almaya devam eden tek sürümler.
| Tarih | Gelişme |
|---|---|
| 13 Ekim 2020 | Exchange Server 2016 ana akım desteği sona erdi |
| 9 Ocak 2024 | Exchange Server 2019 ana akım desteği sona erdi |
| 14 Ekim 2025 | Exchange Server 2016/2019 ve Skype for Business Server 2015/2019 genişletilmiş desteği sona erdi, Period 1 ESU başladı |
| 15 Nisan 2026 | Period 2 ESU programı duyuruldu |
| 1 Mayıs 2026 | Period 2 ESU başladı |
| 13 Ekim 2026 | Ekim 2026 Salı Yaması ile son güvenlik güncellemeleri yayımlandı |
| 31 Ekim 2026 | Period 2 sözleşme süresi sona eriyor |
Destek ile ESU aynı şey değil
Burada sık yapılan bir karışıklığı netleştirmek gerekiyor. ESU, bir destek yaşam döngüsü uzatması değildir. Microsoft de bunu duyurularında açıkça belirtiyor. Resmi destek 14 Ekim 2025’te sona erdi. ESU ise, geçişini tamamlayamamış kuruluşlara yalnızca Critical (Kritik) ve Important (Önemli) seviyesindeki güvenlik güncellemelerini sağlayan, ücretli ve sözleşmeye bağlı bir köprüydü.
Bu nedenle ESU kapsamında genel teknik destek, hata düzeltmeleri veya yeni özellikler beklenmemeliydi. Period 2 ise Period 1’in devamı değil, ayrı bir sözleşmeydi. Period 2 kapsamında desteklenen sürümler şunlardı:
- Exchange Server 2016 CU23 (Cumulative Update, Kümülatif Güncelleştirme)
- Exchange Server 2019 CU14 ve CU15
- Skype for Business Server 2015 ve 2019
Ekim 2026 sonrası ne değişiyor?
Exchange ekibinin duyurusuna göre Ekim 2026’dan sonra şu değişiklikler olacak:
- Microsoft’un güncelleme duyuruları ve MSRC (Microsoft Security Response Center) tarafından yayımlanan CVE (Common Vulnerabilities and Exposures) kayıtları, Exchange 2016 ve 2019’dan artık söz etmeyecek.
- Microsoft bu sürümleri yeni güvenlik açıkları için test etmeyecek.
- Period 2 sözleşmesi sınırlı bir süre daha satın alınabilecek, ancak bu yalnızca Ekim 2026 güncellemesine kadar olan yamalara erişim sağlayacak. Yani geç satın alma, kuruluşu en fazla Ekim 2026 seviyesine getirir, sonrası için koruma sağlamaz.
Burada kritik nokta şu: Duyurularda bu sürümlerin anılmaması, sürümlerin yeni açıklardan etkilenmeyeceği anlamına gelmiyor. Etkilenmeye devam edecekler, ancak Microsoft tarafından doğrulanmış bir düzeltme gelmeyecek. Bir açık ortaya çıktığında, etkilenip etkilenmediğinizi Microsoft’tan öğrenemeyebilirsiniz.
Skype for Business Server tarafı
Skype for Business Server 2015 ve 2019 için güvenlik güncellemeleri zaten Ekim 2025’ten itibaren herkese açık Download Center veya Windows Update üzerinden dağıtılmıyordu. ESU sözleşmesi olan kuruluşlar bu güncellemeleri özel kanaldan alıyordu. Ekim 2026’daki son güncellemeler de aynı şekilde yalnızca Period 2 müşterilerine iletildi. Bu nedenle bu güncellemelere ilişkin herkese açık indirme bağlantısı veya ayrıntılı belge bulunmuyor.
Skype for Business Server için bir halef ürün yok. Microsoft’un yönlendirmesi, Skype for Business Server SE’ye geçmek veya Microsoft Teams’e yönelmek.
Üçüncü taraf mikro yamalar
Bazı üçüncü taraf sağlayıcılar, desteği biten yazılımlar için mikro yama hizmeti sunuyor. Bu çözümler kısa vadeli bir risk azaltma yöntemi olarak değerlendirilebilir, ancak Microsoft’un resmi güncellemeleriyle aynı kapsamı veya doğrulama sürecini garanti etmezler. Üretim e-posta altyapısına üçüncü taraf kod uygulamak, güvenlik ve mevzuata uyum açısından ek risk yaratır. Böyle bir çözüm düşünülüyorsa sağlayıcının kapsamı, doğrulama süreci ve kurumun güvenlik politikalarıyla uyumu önceden değerlendirilmelidir. Bu, bir geçiş planının yerine geçen bir çözüm değildir.
Ne yapmalı?
- Envanter çıkarın. Ortamınızda hâlâ çalışan Exchange 2016/2019 ve Skype for Business Server 2015/2019 sunucularını ve bunlara bağımlı uygulamaları (yazıcı ve tarayıcı e-postaları, ERP, CRM, izleme sistemleri, hibrit yapılandırmalar) listeleyin.
- Hedefi belirleyin. Seçenekler, Exchange Server SE veya Exchange Online (Microsoft 365). Skype tarafında ise Skype for Business Server SE veya Microsoft Teams.
- Geçiş yolunu doğrulayın. Exchange 2019’dan SE’ye geçiş ile Exchange 2016’dan SE’ye geçiş aynı yoldan ilerlemiyor. Hangi CU seviyesinde olduğunuzu ve Microsoft’un güncel yükseltme belgelerini kontrol edin.
- Geçene kadar maruziyeti azaltın. Exchange sunucularını internete doğrudan açmayın veya erişimi sınırlandırın, ağ segmentasyonunu ve güvenlik duvarı kurallarını sıkılaştırın, yönetim arayüzlerine erişimi kısıtlayın, günlük kayıtlarını ve kimlik doğrulama olaylarını yakından izleyin.
- Yedekleme ve geri dönüş planını gözden geçirin. Geçiş sırasında kesinti riskini azaltmak için yedeklerin geri yüklenebildiğini test edin.
- Takvim oluşturun. Uygulama uyumluluğu, kullanıcı erişimi ve hizmet sürekliliği için gerçekçi bir geçiş takvimi belirleyin ve bunu yönetime risk olarak raporlayın.
Sonuç
Exchange 2016/2019 ve Skype for Business Server 2015/2019 için resmi güvenlik güncellemesi dönemi kapandı. Bu sürümleri çalıştırmaya devam eden kuruluşlar, artık yeni bir açık çıktığında Microsoft tarafından doğrulanmış bir düzeltme alamayacak. Geçişi geciktirmek maliyeti ortadan kaldırmıyor, yalnızca riski kuruluşa devrediyor. Henüz geçişini tamamlamamış kurumlar için öncelik, çalışan sistemleri izole etmek ve geçiş takvimini netleştirmek olmalı.