Introduction
Microsoft vient de trancher définitivement : le programme d'Extended Security Updates (ESU) pour Exchange Server 2016 et 2019 prend fin en octobre 2026, sans prolongation possible. L'éditeur l'a confirmé publiquement le 22 juillet 2026 — il n'y aura pas de troisième période de couverture. Après cette date, aucun correctif de sécurité ne sera publié pour ces versions, même en cas de vulnérabilité critique activement exploitée.
Ce n'est pas une surprise de fond. Les deux versions avaient perdu leur support principal — Exchange 2016 en octobre 2025, Exchange 2019 quelques mois plus tôt — et le programme ESU avait offert deux périodes de prolongation successives. La deuxième prend fin sans recours. Les organisations qui n'ont pas encore entamé leur migration n'ont désormais plus que quelques semaines devant elles.
Une cible de choix dans le paysage de la menace
Exchange Server occupe une place à part dans les risques cyber d'entreprise. Les serveurs de messagerie concentrent des volumes de données stratégiques considérables — correspondances contractuelles, accès aux calendriers et annuaires d'entreprise, connexions aux systèmes internes — tout en restant exposés à Internet par conception. Ils ont historiquement figuré parmi les actifs les plus activement ciblés par des groupes d'attaquants sophistiqués, qu'il s'agisse de campagnes d'espionnage industriel, d'intrusions persistantes ou de ransomwares cherchant un premier point d'ancrage dans le réseau.
La fin du programme ESU signifie concrètement que toute faille découverte dans Exchange 2016 ou 2019 après octobre restera ouverte, sans perspective de correction officielle. Les organisations maintenant ces versions en production s'exposeraient à un risque structurel difficilement défendable vis-à-vis de leurs équipes sécurité, de leurs assureurs cyber, et de leurs obligations réglementaires — NIS2 ou DORA selon les secteurs d'activité.
Deux chemins de sortie, chacun avec ses contraintes
Microsoft propose deux alternatives officielles.
Exchange Server Subscription Edition (SE) est la voie pour ceux qui souhaitent maintenir une infrastructure de messagerie on-premises. C'est un changement de modèle notable : Exchange SE fonctionne par abonnement annuel, abandonnant les licences perpétuelles des versions précédentes. Techniquement, la migration depuis Exchange 2019 peut s'effectuer en place, sans reconstruction complète de l'environnement. Depuis Exchange 2016, un passage préalable par la mise à jour cumulative CU23 est nécessaire avant d'entamer la transition vers SE. Les deux versions peuvent temporairement coexister avec Exchange SE, ce qui permet une migration progressive des boîtes aux lettres — mais cette coexistence est limitée dans le temps par les mises à jour successives de SE.
Exchange Online, intégré à Microsoft 365, est l'alternative pour les organisations souhaitant sortir complètement de la gestion d'une infrastructure de messagerie locale. Cette option implique des décisions d'architecture distinctes — gouvernance des identités, politique de conformité des données, gestion d'un scénario hybride éventuel — et requiert une préparation sérieuse plutôt qu'une migration précipitée de dernière minute.
Le calendrier n'est pas extensible
Quel que soit le chemin retenu, la fenêtre d'action est étroite. D'ici octobre, les équipes IT doivent avoir formalisé leur choix, préparé l'environnement cible et engagé les migrations de boîtes aux lettres. Dans des environnements Exchange complexes — connecteurs personnalisés, intégrations applicatives tierces, architectures multi-sites — cette timeline est déjà très serrée.
Les directions informatiques qui n'ont pas encore lancé leur projet de migration doivent le faire sans attendre. Maintenir des serveurs de messagerie d'entreprise sans correctifs de sécurité, dans un contexte où ces actifs constituent des cibles de premier plan, n'est ni une posture technique défendable ni une décision acceptable au regard des exigences de gouvernance IT actuelles.