Introducción
Microsoft ha cerrado el debate: el programa de Extended Security Updates (ESU) para Exchange Server 2016 y 2019 concluye en octubre de 2026, sin posibilidad de prórroga. El fabricante lo confirmó públicamente el 22 de julio de 2026 — no habrá un tercer período de cobertura. A partir de esa fecha, no se publicará ningún parche de seguridad para estas versiones, incluso ante una vulnerabilidad crítica activamente explotada.
No es una sorpresa en el fondo. Ambas versiones ya habían perdido su soporte principal — Exchange 2016 en octubre de 2025, Exchange 2019 algunos meses antes — y el programa ESU había ofrecido dos períodos de extensión consecutivos. El segundo concluye sin alternativa. Las organizaciones que aún no han iniciado su migración disponen de apenas unas semanas para actuar.
Un objetivo prioritario en el panorama de amenazas
Exchange Server ocupa un lugar singular dentro del mapa de riesgos cibernéticos empresariales. Los servidores de correo concentran volúmenes considerables de información estratégica — correspondencia contractual, acceso a calendarios y directorios corporativos, conexiones con sistemas internos — al tiempo que permanecen expuestos a Internet por diseño. Históricamente, han figurado entre los activos más activamente atacados por grupos de amenazas sofisticados, ya sea en campañas de espionaje industrial, intrusiones persistentes o ransomware en busca de un primer punto de entrada a la red.
El fin del programa ESU implica, en términos prácticos, que cualquier vulnerabilidad descubierta en Exchange 2016 o 2019 después de octubre permanecerá abierta, sin posibilidad de corrección oficial. Las organizaciones que mantengan estas versiones en producción asumirán un riesgo estructural difícilmente justificable ante sus equipos de seguridad, sus aseguradoras de ciberseguridad y sus obligaciones regulatorias — NIS2 o DORA según el sector de actividad.
Dos rutas de salida, cada una con sus condicionantes
Microsoft propone dos alternativas oficiales.
Exchange Server Subscription Edition (SE) es la opción para quienes deseen mantener una infraestructura de correo on-premises. Supone un cambio de modelo relevante: Exchange SE funciona mediante suscripción anual, abandonando las licencias perpetuas de versiones anteriores. Técnicamente, la migración desde Exchange 2019 puede realizarse in situ, sin necesidad de reconstruir el entorno completo. Desde Exchange 2016, es necesario aplicar previamente la actualización acumulativa CU23 antes de iniciar la transición a SE. Ambas versiones pueden coexistir temporalmente con Exchange SE, lo que permite una migración progresiva de los buzones de correo; no obstante, esta coexistencia está limitada en el tiempo por las actualizaciones sucesivas de SE.
Exchange Online, integrado en Microsoft 365, es la alternativa para las organizaciones que deseen prescindir completamente de la gestión de una infraestructura de correo local. Esta opción implica decisiones de arquitectura específicas — gobernanza de identidades, política de cumplimiento normativo de datos, gestión de un posible escenario híbrido — y requiere una planificación sólida, no una migración apresurada de último momento.
El calendario no admite más esperas
Sea cual sea la ruta elegida, la ventana de actuación es estrecha. Antes de octubre, los equipos IT deben haber formalizado su decisión, preparado el entorno de destino e iniciado las migraciones de buzones. En entornos Exchange complejos — conectores personalizados, integraciones con aplicaciones de terceros, arquitecturas multisitio — este plazo ya resulta muy ajustado.
Los responsables de tecnología que aún no hayan puesto en marcha su proyecto de migración deben hacerlo sin más dilación. Mantener servidores de correo corporativo sin parches de seguridad, en un contexto en el que estos activos constituyen objetivos de primer orden, no es una postura técnica sostenible ni una decisión aceptable desde el punto de vista de los requisitos actuales de gobernanza IT.