Merhaba
Microsoft, Exchange Server 2016 ve Exchange Server 2019 için güvenlik güncelleştirmelerinin Ekim 2026’dan sonra kalıcı olarak sona ereceğini doğruladı. Böylece, henüz geçişlerini tamamlamamış kurumları koruyan geçici Extended Security Update (ESU) programı için başka bir uzatma ihtimali ortadan kalkmış oldu.
Bu karar, halen iki üründen birini kullanan işletmeler için nihai bir son tarih belirliyor. Program sona erdiğinde Microsoft, Period 2 ESU kapsamını satın almış kurumlar için bile Exchange 2016 veya 2019’a yönelik zafiyet düzeltmeleri yayınlamayacak.
Microsoft, her iki sunucu sürümü de 14 Ekim 2025 tarihinde resmi olarak destek sonuna (end of support) ulaştıktan sonra bu geçici programı devreye almıştı. Programın amacı, yaşam döngüsü son tarihinden önce Exchange Server Subscription Edition (SE) veya Exchange Online’a geçemeyen kurumlara kısa süreli bir güvenlik köprüsü sağlamaktı.
Şirket başlangıçta Ekim 2025’ten Nisan 2026’ya kadar geçerli, altı aylık ek bir kapsam sunmuştu. Ancak Nisan ayında, korumayı Ekim 2026 sonuna kadar uzatan ve ayrı olarak satın alınan ikinci bir ESU dönemi (Period 2) duyurdu.
Bu ikinci taviz, Microsoft’un yeni bir uzatma yapıp yapmayacağı sorusunu beraberinde getirdi. Exchange Server ekibi ise bu konuda net bir yanıt verdi.
Microsoft’un açıklamasına göre: “Exchange 2016/2019 ESU programı zaman çizelgesinde başka bir uzatma olmayacak. Ekim 2026 sona erdiğinde, halihazırda Period 2 ESU’ya sahip olsanız bile Exchange 2016/2019 için başka bir güncelleştirme yayınlanmayacak.”
Microsoft’un bu ifadesi, müşterilerin Ekim ayını pazarlık edilebilir bir geçiş kilometre taşı olarak değil, kesin bir güvenlik sınırı olarak görmesi gerektiği anlamına geliyor. Şirketin resmi duyurusu, kurumların Exchange Server Subscription Edition veya desteklenen bir Microsoft 365 hizmetine geçişlerini tamamlamaları gerektiğini belirtiyor.
ESU Zaman Çizelgesine Genel Bakış
| Dönem / Kilometre Taşı | Başlangıç | Bitiş | Kapsam |
|---|---|---|---|
| Destek Sonu (End of Support) | — | 14 Ekim 2025 | Olağan güvenlik güncelleştirmeleri sona erdi |
| ESU Period 1 | Ekim 2025 | 14 Nisan 2026 | Yalnızca Critical ve Important yamalar |
| ESU Period 2 (ayrı satın alım) | Mayıs 2026 | 31 Ekim 2026 | Yalnızca Critical ve Important yamalar |
| Kesin Son (Period 3 yok) | — | Ekim 2026 sonu | Hiçbir güncelleştirme yok |
ESU Geçici Bir Güvenlik Ağı Olarak Tasarlanmıştı
Exchange Server 2016 ve Exchange Server 2019, birkaç yıl arayla piyasaya sürülmüş olmalarına rağmen aynı tarihte destek dışı kaldı.
Exchange 2016, 2015 yılında genel kullanıma sunulmuştu. Mainstream support (ana destek) dönemi Ekim 2020’de, extended support (genişletilmiş destek) dönemi ise 14 Ekim 2025’te sona erdi. Exchange 2019 ise Ekim 2018’de piyasaya sürüldü, mainstream support Ocak 2024’te bitti ve extended support Ekim 2025’te sona erdi.
Microsoft’un Fixed Lifecycle Policy’sine göre destek sonu normalde; güvenlik güncelleştirmeleri, güvenlik dışı düzeltmeler, hata düzeltmeleri, saat dilimi güncelleştirmeleri ve destekli teknik yardımın sona ermesi anlamına gelir. Sunucular çalışmayı durdurmaz; ancak çalışmaya devam etmeleri, yeni keşfedilen zafiyetler yamalanmadan kaldıkça giderek artan bir güvenlik ve uyumluluk riski yaratır.
Microsoft’un Exchange desteklenebilirlik kılavuzu da bu doğrultuda Exchange 2016 ve 2019’u desteklenmeyen ürünler olarak listeliyor ve on-premises e-posta altyapısını sürdüren kurumlar için desteklenen platform olarak Exchange Server Subscription Edition’ı gösteriyor.
ESU programı bu yaşam döngüsü durumunu tersine çevirmedi. Bunun yerine, uygun müşterilere bir yükseltme veya bulut geçişini tamamlarken seçili güvenlik düzeltmelerine erişim imkanı verdi. Tam ürün desteğini geri getirmedi, özellik geliştirmesi sağlamadı ve desteklenen bir sürüme normalde sunulan daha geniş kapsamlı güvenilirlik ve işlevsellik düzeltmelerini içermedi.
Microsoft ayrıca Exchange 2016 ve 2019 ESU paketlerini olağan genel dağıtım süreci üzerinden yayınlamadı. Kurumların uygulanabilir güncelleştirmeleri edinmek için programa kayıt olmaları ve Microsoft’un prosedürlerini izlemeleri gerekti.
İlk dönem, 14 Ekim 2025’ten 14 Nisan 2026’ya kadar Critical veya Important olarak derecelendirilen zafiyetleri kapsadı. Nisan 2026’da duyurulan Period 2 ise ayrı olarak satıldı ve Mayıs’tan Ekim 2026’ya kadar çalışıyor. İlk dönemi satın almak, müşteriye otomatik olarak ikinci dönem hakkı vermedi.
Microsoft’un Period 2 duyurusu, programın Exchange Server Subscription Edition’a geçiş konusunda halihazırda ilerleme kaydeden ancak bitirmek için ek zamana ihtiyaç duyan kurumlara yönelik olduğunu açıkça belirtiyordu.
Desteklenmeyen Exchange Sunucuları Büyüyen Bir Yük Haline Gelecek
Güncelleştirmelerin sona ermesi özellikle önemli; çünkü Exchange, devlet destekli gruplar, fidye yazılımı (ransomware) operatörleri ve initial-access broker’lar için yüksek değerli bir hedef.
On-premises bir Exchange sunucusu; bir kurumun kimlik, mesajlaşma ve dizin (directory) altyapısıyla sıkı biçimde entegredir. Yapılandırmasına bağlı olarak, ele geçirilmiş bir sunucu; e-postaları, adres defteri bilgilerini, kimlik doğrulama materyalini ve hassas iş iletişimlerini açığa çıkarabilir. Ayrıca saldırgana, Windows domain içinde daha ileriye ilerlemek için bir dayanak noktası da sağlayabilir.
Exchange zafiyetleri, kimi zaman kurumlar normal yama döngülerini tamamlayamadan önce, yaygın saldırılarda defalarca istismar edildi. Internet’e açık (internet-facing) sunucular özellikle cazip; çünkü saldırgan, ağ içindeki bir uç noktayı ele geçirmeden bu sunuculara doğrudan ulaşabilir.
Risk, Ekim 2026’dan sonra temelden değişecek. ESU’ya kayıtlı sunucular şu anda uygun zafiyetler için düzeltme alabilirken, program sona erdikten sonra keşfedilen bir Exchange 2016 veya 2019 zafiyeti bu platformlarda kalıcı olarak yamalanmamış kalabilir.
Web application firewall (WAF), network segmentation, endpoint detection and response (EDR), kısıtlı yönetici erişimi ve Microsoft’un Exchange Emergency Mitigation Service (EM Service) gibi güvenlik kontrolleri belirli riskleri azaltabilir; ancak bunlar, üretici tarafından desteklenen güvenlik güncelleştirmelerinin yerini tutmaz.
Geçici azaltımlar (mitigation) da eksik olabilir veya yalnızca tek bir istismar tekniğine özgü kalabilir. Eskimiş bir kod tabanını etkileyen her gelecek zafiyete karşı koruma garanti edemezler.
Desteklenmeyen Exchange yazılımı çalıştırmak, ek yönetişim (governance) zorlukları da yaratabilir. Regüle sektörlerdeki kurumlar, kritik bir mesajlaşma sisteminin neden artık üretici güvenlik düzeltmeleri almadığını açıklamak zorunda kalabilir. Siber sigorta gereksinimleri, müşteri güvenlik anketleri, sözleşmesel yükümlülükler ve iç risk politikaları da desteklenmeyen altyapıyı yasaklayabilir veya ciddi biçimde kısıtlayabilir.
Dolayısıyla ESU’nun sona ermesi, yalnızca yama erişilebilirliğinden fazlasını etkiliyor. Risk kayıtlarında (risk register), denetim dokümantasyonunda, iş sürekliliği planlarında ve olay müdahale (incident response) prosedürlerinde değişiklik gerektirebilir.
Exchange Server Subscription Edition On-Premises Hedef Haline Geliyor
Exchange’i kendi altyapılarında tutması gereken kurumlar için Microsoft’un tercih ettiği geçiş hedefi, kısaca Exchange Server SE olarak anılan Exchange Server Subscription Edition’dır.
Exchange SE, 1 Temmuz 2025 tarihinde genel kullanıma sunuldu. Birkaç yılda bir yeni numaralı bir Exchange sürümü yayınlamaya dayalı geleneksel modeli izlemek yerine, SE Microsoft’un Modern Lifecycle Policy’si kapsamında çalışıyor.
Ürünün, müşteriler lisanslı kaldığı, desteklenen yapılandırmaları çalıştırdığı ve gerekli güncelleştirmeleri kurduğu sürece önceden belirlenmiş bir emeklilik tarihi yok. Microsoft bunu; başka bir planlı yıl bazlı Exchange Server halefi olmaksızın cumulative ve güvenlik güncelleştirmeleri alacak bir evergreen (sürekli güncel) sürüm olarak tanımlıyor.
Microsoft’un Exchange SE kullanılabilirlik duyurusuna göre bu değişikliğin amacı; on-premises, bulut ve hibrit e-posta ortamlarına sahip kurumlara sürekli destek sağlamak.
Lisanslama modeli de farklı. Kurumların, Exchange SE’yi yıllarca değişmeden kalabilen geleneksel bir perpetual (kalıcı) sürüm gibi ele almak yerine, uygun abonelik haklarını sürdürmeleri gerekiyor.
Bu sürekli servis (continuous servicing) yaklaşımı, güncelleştirme disiplinine daha fazla önem veriyor. Desteklenmeye devam etmek; cumulative güncelleştirmelerin Microsoft’un gerekli süreleri içinde kurulmasına ve uyumlu işletim sistemleri, .NET Framework sürümleri, Active Directory ortamları ve diğer önkoşulların korunmasına bağlı olacak.
Exchange 2019 En Basit Yerinde (In-Place) Rotayı Sunuyor
Geçiş süreci, halihazırda dağıtılan sürüme ve yapılandırmaya büyük ölçüde bağlı.
Exchange Server 2019 CU14 ve CU15, ilk Exchange Server SE sürümüne yerinde yükseltmeyi (in-place upgrade) destekliyor. Microsoft bu geçişi, bir cumulative update kurulumuna benzeyecek şekilde tasarladı; böylece tüm önkoşulların karşılandığı yerlerde yöneticiler mevcut sunucuyu, yapılandırmayı ve veritabanlarını koruyabiliyor.
Geleneksel bir sürüm geçişinden teknik olarak daha az sarsıcı olsa da, bu bir rutin yama gibi ele alınmamalı. Yöneticilerin her sunucunun desteklenen bir Exchange 2019 cumulative update çalıştırdığını doğrulaması, işletim sistemi uyumluluğunu kontrol etmesi, üçüncü taraf entegrasyonları gözden geçirmesi, kritik verileri yedeklemesi ve kurtarma (recovery) prosedürlerini test etmesi gerekiyor.
Microsoft, başlamadan önce en güncel cumulative ve güvenlik güncelleştirmelerinin kullanılmasını öneriyor. Kurumlar ayrıca Exchange Health Checker’ı çalıştırmalı ve desteklenmeyen veya güvensiz yapılandırmaları yeni kuruluma taşımak yerine çözmeli.
Yerinde (in-place) rota, yerinde bir işletim sistemi yükseltmesini içermiyor. Microsoft, Exchange kuruluyken Windows Server’ı büyük sürümler arasında yükseltmenin desteklenmediğini açıkça belirtiyor. Bir kurum daha yeni bir işletim sistemine geçmek veya eskiyen donanımı değiştirmek zorundaysa, genellikle yeni bir Exchange SE sunucusu dağıtması ve geleneksel bir geçiş yapması gerekecek.
Microsoft, desteklenen her iki yöntemi de kapsayan ayrıntılı bir Exchange SE yükseltme kılavuzu sunuyor.
Exchange 2016 Legacy (Eski Sürüm) Geçişi Gerektiriyor
Exchange Server 2016, SE yükleyicisini mevcut kurulumun üzerine çalıştırarak Exchange SE’ye yükseltilemiyor.
Bu ortamlar, Microsoft’un legacy upgrade (eski sürüm yükseltmesi) dediği süreci gerektiriyor. Yöneticiler, Exchange SE çalıştıran yeni bir sunucu dağıtır veya seçtikleri rotaya ve mevcut ortamlarına bağlı olarak önce Exchange 2019’u devreye alır, ardından eski sistemi emekliye ayırmadan önce posta kutularını, connector’ları, sertifikaları, transport işlevlerini ve diğer hizmetleri taşırlar.
Güncel şekilde yamalanmış bir Exchange 2016 organizasyonundan Exchange SE’ye doğrudan bir legacy geçiş; organizasyona yeni SE sunucuları eklenerek ve iş yükleri aktarılarak mümkün olabilir. Bu, in-place upgrade’den farklıdır: Exchange 2016 sunucusunun kendisi bir SE sunucusuna dönüşmez.
Exchange 2019 ara adımını seçen kurumlar önce desteklenen donanım ve Windows Server üzerinde Exchange 2019’u dağıtmalı, Exchange 2016’dan geçiş yapmalı ve ardından Exchange 2019 sunucularını SE’ye yükseltmeli.
Exchange 2013 ise ek bir sorun teşkil ediyor. Exchange Server SE RTM, Nisan 2023’te destek sonuna ulaşan Exchange 2013 ile birlikte çalışmayı (coexistence) desteklemiyor. Exchange SE devreye alınmadan önce, kalan tüm Exchange 2013 sunucuları desteklenen bir geçiş dizisiyle kaldırılmalı.
Bu ayrım önemli; çünkü eksik veya yanlış sıralanmış bir yükseltme; mail flow’u, istemci bağlantısını, hibrit entegrasyonu ve yönetim işlevlerini bozabilir.
Geçişler Yalnızca Posta Kutularını Taşımaktan İbaret Değil
Bir Exchange geçişi, yalnızca posta kutusu sayısıyla ölçüldüğünde basit görünebilir; ancak üretim ortamları çoğu zaman yıllar içinde biriken bağımlılıklar (dependency) barındırır.
Yöneticiler; tarayıcılar, izleme sistemleri, iş uygulamaları ve çok işlevli yazıcılar dahil olmak üzere Exchange üzerinden posta gönderen uygulamaları ve cihazları belirlemek zorundadır. Ayrıca receive ve send connector’ları, transport kurallarını, accepted domain’leri, sertifikaları, namespace’leri, load balancer’ları, antivirüs entegrasyonlarını, journaling sistemlerini, arşiv platformlarını ve yedekleme ürünlerini gözden geçirmelidir.
Public folder’lar ve arbitration mailbox’lar özel dikkat gerektirir. Hibrit ortamlar, Microsoft 365 ile bağlantıyı doğrulamalı ve değişikliklerden sonra Hybrid Configuration Wizard (HCW), OAuth yapılandırması ve mail-flow connector’larının doğru kaldığından emin olmalıdır.
İstemci uyumluluğu da incelenmeli. Eski Outlook sürümleri, mobil istemciler veya line-of-business (kuruma özel) yazılımlar yeni ortamda beklendiği gibi davranmayabilir.
Güvenlik ayarları otomatik olarak kopyalanmak yerine gözden geçirilmeli. Bir geçiş; eskimiş protokolleri kaldırmak, yönetim arayüzlerini kısıtlamak, destekleniyorsa Extended Protection’ı etkinleştirmek ve gereksiz internet açıklığını ortadan kaldırmak için bir fırsat sunar.
Kurumlar Active Directory’yi de hesaba katmalı. Exchange, yapılandırma verilerini dizine yazar; dolayısıyla son legacy sunucuyu Microsoft’un desteklenen sürecini izlemeden emekliye ayırmak, geride bağımlılıklar bırakabilir ve alıcı (recipient) yönetimini zorlaştırabilir.
Exchange Online Sunucu Sürdürmeye Alternatif Sunuyor
Microsoft ayrıca müşterileri, ister bağımsız bir hizmet ister Microsoft 365’in bir parçası olarak Exchange Online’ı değerlendirmeye teşvik ediyor.
Bir bulut geçişi, temeldeki Exchange sunucu yazılımını sürdürme sorumluluğunu Microsoft’a devreder. Müşteriler kimlikleri, politikaları, veri yönetişimini ve hizmet yapılandırmasını kontrol etmeye devam eder; ancak Exchange işletim ortamını artık kendileri yamalamaz.
Geçiş seçenekleri; bazı küçük ortamlar için staged veya cutover yaklaşımlarını, daha uzun bir geçiş sırasında birlikte çalışma gerektiren kurumlar için hibrit geçişi içerir. Uygun yöntem; mevcut Exchange sürümüne, dizin yapılandırmasına, posta kutusu sayısına, kimlik modeline ve operasyonel gereksinimlere bağlıdır.
Exchange Online’a geçmek, her Exchange ile ilgili sunucunun hemen kaldırılabileceği anlamına gelmez. Microsoft Entra Connect kullanan veya on-premises Active Directory’yi koruyan kurumların hala desteklenen recipient-management düzenlemelerine ihtiyacı olabilir. Yöneticiler, son Exchange sunucusunu yalnızca kapatmak veya silmek yerine Microsoft’un belgelenmiş prosedürlerini izlemeli.
Bir bulut geçişi ayrıca veri konumu (data residency), uyumluluk, saklama (retention), eDiscovery, yedekleme, ağ kapasitesi ve üçüncü taraf entegrasyonlarının değerlendirilmesini gerektirir. Bazı işletmeler için bu değerlendirmeler Exchange’i on-premises tutmayı haklı çıkaracaktır. Diğerleri için ise internet’e açık e-posta sunucularını yamalama sorumluluğunu ortadan kaldırmak operasyonel riski önemli ölçüde azaltabilir.
Microsoft’un destek sonu yol haritası, müşterileri Microsoft 365, Office 365 veya Exchange Server SE’ye yönlendiriyor ve desteklenmeyen kurulumların, ürün yaşam döngüsü boyunca sunulan olağan korumaları artık almayacağı konusunda uyarıyor.
Kurumların İşi Tamamlamak İçin Yalnızca Birkaç Ayı Kaldı
Ekim son tarihi, özellikle projenin tedarik, mimari değişiklik veya yeni sunucu donanımı gerektirdiği durumlarda, kurumlara sınırlı bir geçiş penceresi bırakıyor.
Gerçekçi bir geçiş; envanter ve bağımlılık keşfi, lisanslama onayı, altyapı dağıtımı, test, change-control (değişiklik kontrolü) incelemesi, posta kutusu taşıma ve eski sistemlerin düzenli biçimde devreden çıkarılmasını içerebilir. Büyük veya yüksek düzeyde regüle kurumlar ayrıca felaket kurtarma (disaster recovery) tatbikatları, güvenlik değerlendirmeleri ve resmi iş onayına da ihtiyaç duyabilir.
Yöneticiler işe, organizasyondaki her Exchange sunucusunu ve build’i doğrulayarak başlamalı. Ardından her sistemin doğru ESU dönemine kayıtlı olup olmadığını belirlemeli ve mevcut tüm güncelleştirmelerin kurulduğunu doğrulamalı.
Sonraki adım; bir hedef mimariyi, Exchange SE, Exchange Online veya hibrit bir düzenleme seçmek ve Microsoft’un desteklenen yükseltme yollarına dayalı bir geçiş planı oluşturmaktır.
Kurumlar, bir Ekim geçişinin son güvenlik güncelleştirmesi gelene kadar ertelenebileceğini varsaymamalı. Sürecin sonlarında keşfedilen herhangi bir dağıtım sorunu, kurumu geride hiçbir üretici güvenlik ağı kalmadan desteklenmeyen sunucular çalıştırır durumda bırakabilir.
Microsoft’un daha önce ikinci bir ESU dönemine izin vermiş olması, bazı müşterileri daha fazla esneklik beklentisine yöneltmiş olabilir. Şirketin son duyurusu ise bu belirsizliği ortadan kaldırmayı amaçlıyor.
Exchange Server 2016 ve 2019, Ekim ayından sonra da çalışmaya devam edecek; ancak bunu gelecekteki Microsoft güvenlik düzeltmeleri olmadan yapacaklar. Halen bu platformlardan birine güvenen kurumlar için kalan aylar, geçici bir geçiş sorunu kalıcı bir güvenlik açığına dönüşmeden önce taşınmak için son fırsatı temsil ediyor.
Başka bir yazımızda görüşmek dileğiyle…