Faltan 19 días. El sábado 31 de octubre de 2026 termina el Periodo 2 del programa de actualizaciones de seguridad extendidas (ESU) de Exchange Server 2016 y 2019, y con él el último hilo de parches que les quedaba a esas dos versiones. El equipo de Exchange de Microsoft lo dijo sin margen de interpretación: no habrá más extensiones, y una vez que termine octubre no habrá actualizaciones para Exchange 2016 ni 2019, aunque tengas ESU del Periodo 2.
Como para que nadie lo tome como trámite, Microsoft publicó el 2 de octubre, antes de lo previsto, una versión V2 de las actualizaciones de seguridad de septiembre que añade la corrección de CVE-2026-96940, una falla con la que un empleado con usuario y contraseña puede leer el correo de sus compañeros. Es probablemente uno de los últimos parches que verán estas versiones.
Hace una semana contamos que Exchange Online ya empezó a frenar el correo de los servidores 2016 y 2019 desactualizados. Esto es la otra mitad: qué pasa con la seguridad del servidor cuando se acaban los parches.
Qué se sabe
| Dato | Detalle |
|---|---|
| Fin del ESU Periodo 2 | 31 de octubre de 2026, sin Periodo 3 |
| Cobertura del Periodo 2 | Mayo a octubre de 2026 (BleepingComputer lo cuenta desde abril) |
| Versiones cubiertas | Exchange 2016 CU23 y Exchange 2019 CU14/CU15 |
| Cómo llegan los parches | Solo a clientes inscritos; no salen en el Centro de descargas ni en Windows Update |
| Falla más reciente | CVE-2026-96940, CVSS 8.8, aviso del 2 de octubre |
| Explotación | No conocida; Microsoft la marca como "explotación más probable" |
| Exchange Online | Corregido del lado del servicio, sin acción del cliente |
La falla de este mes
Según The Hacker News y Help Net Security, CVE-2026-96940 es una autorización débil en Exchange Server: un usuario autenticado de la organización puede leer los mensajes y adjuntos de otros buzones. No cruza entre organizaciones ni requiere que nadie haga clic. La descubrió el propio equipo de Microsoft y no hay ataques conocidos, pero la empresa la califica como "explotación más probable" y Help Net Security recuerda que este tipo de falla ya se ha explotado antes.
La V2 trae lo mismo que la de septiembre más esta corrección, y hay que instalarla aunque ya hayas aplicado la original. Hay actualización para Exchange SE RTM, Exchange 2019 CU14 y CU15 y Exchange 2016 CU23. Microsoft pide instalarla en todos los servidores Exchange y también en los equipos que tengan las herramientas de administración de Exchange. Para 2016 y 2019, el paquete solo lo reciben quienes compraron el Periodo 2.
En términos de empresa: cualquier cuenta interna, o una robada con phishing, sirve de llave maestra para leer el correo de dirección, nómina o ventas.
A quién le toca
- Empresas con Exchange 2016 o 2019 en sus instalaciones, compraran o no el soporte extendido. Las que no lo compraron llevan desde octubre de 2025 sin parches públicos; las que sí, se quedan sin ellos en tres semanas.
- Configuraciones híbridas, donde el servidor local sigue vivo "solo para administrar" o para que una aplicación envíe correo. Ese servidor también es superficie de ataque.
- Empresas que ya están en Microsoft 365 pero nunca apagaron el Exchange viejo. Es más común de lo que parece y nadie lo parcha porque "ya no se usa".
Qué hacer esta semana
- Inventario de 10 minutos. Confirma qué versión y CU tiene cada servidor Exchange, incluidos los que creías apagados. Mañana, martes 13 de octubre, es el último Patch Tuesday dentro de la ventana del ESU: si Microsoft publica algo más para Exchange, llegará ahí o antes del 31.
- Si tienes ESU del Periodo 2, instala ya la V2 de septiembre (la de CVE-2026-96940), aunque ya tengas la original, y lo que salga mañana, en servidores y en equipos con herramientas de administración.
- Si no tienes ESU, asume que tu servidor ya tiene fallas conocidas sin corregir. Saca de internet todo lo que no sea indispensable (OWA, ECP, PowerShell remoto), exige MFA donde se pueda y revisa en el registro de auditoría de buzones accesos de una cuenta a buzones ajenos.
- Decide la salida antes del 31, aunque se ejecute en noviembre:
- Exchange 2019 CU14/CU15 → Exchange SE: actualización en el mismo servidor, el procedimiento es como el de un CU. Pide licencias con Software Assurance vigente o licencias de nube como Microsoft 365 E3/E5.
- Exchange 2016 → Exchange SE: migración clásica con servidores nuevos en coexistencia y movimiento de buzones.
- Todo a Exchange Online: apagar el servidor y dejar de cargar con los parches. Si estás evaluando plataforma, la comparación está en Google Workspace contra Microsoft 365.
- Respaldo verificado antes de cualquier migración. Mover buzones sin un respaldo que hayas probado restaurar es apostar el correo de la empresa; la guía de respaldos para sobrevivir al ransomware aplica igual aquí.
Contexto: octubre cierra varias puertas a la vez
Este mes vencen o cambian de precio varios productos de Microsoft al mismo tiempo: Office 2021 deja de recibir parches el 13 de octubre, Windows 10 entra al segundo año de soporte pagado al doble de precio y Windows Server 2022 sale del soporte principal. De todos, Exchange es el único sin ninguna opción de pagar por más tiempo.
Un servidor de correo sin parches concentra contratos, cotizaciones, nómina y restablecimientos de contraseña de los demás sistemas. La decisión de este mes no es técnica: es si vale la pena mantener un servidor propio que ya nadie va a proteger.
