[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/exchange-2016-2019-fin-esu-31-octubre":3,"prev-/blog/noticias/exchange-2016-2019-fin-esu-31-octubre":413,"next-/blog/noticias/exchange-2016-2019-fin-esu-31-octubre":390,"related-/blog/noticias/exchange-2016-2019-fin-esu-31-octubre":416,"author-Diego Herrera":435},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":366,"cta":367,"date":373,"dateModified":373,"description":374,"draft":375,"extension":376,"faq":377,"featured":375,"howto":390,"image":391,"imageAlt":392,"intent":393,"keywords":394,"meta":399,"navigation":400,"path":401,"publishedTime":402,"readingTime":403,"seo":404,"seoTitle":405,"stem":406,"tags":407,"__hash__":412},"blog/blog/noticias/exchange-2016-2019-fin-esu-31-octubre.md","Exchange 2016 y 2019 reciben sus últimos parches: el 31 de octubre se acaba el soporte pagado y no habrá prórroga","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":355},"minimark",[11,41,60,72,77,153,158,172,199,206,229,233,255,258,262,331,335,348],[12,13,14,15,19,20,23,24,27,28,31,32,35,36,40],"p",{},"Faltan ",[16,17,18],"strong",{},"19 días",". El ",[16,21,22],{},"sábado 31 de octubre de 2026"," termina el ",[16,25,26],{},"Periodo 2 del programa de actualizaciones de seguridad extendidas (ESU)"," de ",[16,29,30],{},"Exchange Server 2016 y 2019",", y con él el último hilo de parches que les quedaba a esas dos versiones. El equipo de Exchange de Microsoft lo dijo sin margen de interpretación: ",[16,33,34],{},"no habrá más extensiones",", y una vez que termine octubre no habrá actualizaciones para Exchange 2016 ni 2019, ",[37,38,39],"em",{},"aunque tengas ESU del Periodo 2",".",[12,42,43,44,47,48,51,52,55,56,59],{},"Como para que nadie lo tome como trámite, Microsoft publicó el ",[16,45,46],{},"2 de octubre",", antes de lo previsto, una versión ",[16,49,50],{},"V2"," de las actualizaciones de seguridad de septiembre que añade la corrección de ",[16,53,54],{},"CVE-2026-96940",", una falla con la que un empleado con usuario y contraseña puede ",[16,57,58],{},"leer el correo de sus compañeros",". Es probablemente uno de los últimos parches que verán estas versiones.",[12,61,62,63,68,69],{},"Hace una semana contamos que ",[64,65,67],"a",{"href":66},"/blog/noticias/exchange-2016-2019-correo-bloqueado-hibrido","Exchange Online ya empezó a frenar el correo de los servidores 2016 y 2019 desactualizados",". Esto es la otra mitad: ",[16,70,71],{},"qué pasa con la seguridad del servidor cuando se acaban los parches.",[73,74,76],"h2",{"id":75},"qué-se-sabe","Qué se sabe",[78,79,80,93],"table",{},[81,82,83],"thead",{},[84,85,86,90],"tr",{},[87,88,89],"th",{},"Dato",[87,91,92],{},"Detalle",[94,95,96,105,113,121,129,137,145],"tbody",{},[84,97,98,102],{},[99,100,101],"td",{},"Fin del ESU Periodo 2",[99,103,104],{},"31 de octubre de 2026, sin Periodo 3",[84,106,107,110],{},[99,108,109],{},"Cobertura del Periodo 2",[99,111,112],{},"Mayo a octubre de 2026 (BleepingComputer lo cuenta desde abril)",[84,114,115,118],{},[99,116,117],{},"Versiones cubiertas",[99,119,120],{},"Exchange 2016 CU23 y Exchange 2019 CU14/CU15",[84,122,123,126],{},[99,124,125],{},"Cómo llegan los parches",[99,127,128],{},"Solo a clientes inscritos; no salen en el Centro de descargas ni en Windows Update",[84,130,131,134],{},[99,132,133],{},"Falla más reciente",[99,135,136],{},"CVE-2026-96940, CVSS 8.8, aviso del 2 de octubre",[84,138,139,142],{},[99,140,141],{},"Explotación",[99,143,144],{},"No conocida; Microsoft la marca como \"explotación más probable\"",[84,146,147,150],{},[99,148,149],{},"Exchange Online",[99,151,152],{},"Corregido del lado del servicio, sin acción del cliente",[154,155,157],"h3",{"id":156},"la-falla-de-este-mes","La falla de este mes",[12,159,160,161,163,164,167,168,171],{},"Según The Hacker News y Help Net Security, ",[16,162,54],{}," es una autorización débil en Exchange Server: un usuario ",[16,165,166],{},"autenticado"," de la organización puede ",[16,169,170],{},"leer los mensajes y adjuntos de otros buzones",". No cruza entre organizaciones ni requiere que nadie haga clic. La descubrió el propio equipo de Microsoft y no hay ataques conocidos, pero la empresa la califica como \"explotación más probable\" y Help Net Security recuerda que este tipo de falla ya se ha explotado antes.",[12,173,174,175,178,179,182,183,186,187,190,191,194,195,198],{},"La V2 trae lo mismo que la de septiembre más esta corrección, y hay que instalarla ",[16,176,177],{},"aunque ya hayas aplicado la original",". Hay actualización para ",[16,180,181],{},"Exchange SE RTM",", ",[16,184,185],{},"Exchange 2019 CU14 y CU15"," y ",[16,188,189],{},"Exchange 2016 CU23",". Microsoft pide instalarla en ",[16,192,193],{},"todos los servidores Exchange"," y también en los equipos que tengan las ",[16,196,197],{},"herramientas de administración de Exchange",". Para 2016 y 2019, el paquete solo lo reciben quienes compraron el Periodo 2.",[12,200,201,202,205],{},"En términos de empresa: ",[16,203,204],{},"cualquier cuenta interna",", o una robada con phishing, sirve de llave maestra para leer el correo de dirección, nómina o ventas.",[207,208,211],"callout",{"icon":209,"title":210},"i-lucide-calendar-x","Lo que viene después del 31 de octubre",[12,212,213,214,217,218,221,222,225,226,40],{},"En agosto Microsoft corrigió otra falla de Exchange, ",[16,215,216],{},"CVE-2026-62911",", que permitía entrar a los buzones ",[16,219,220],{},"sin contraseña",". A finales de agosto se publicó código de ataque (el NCSC de Países Bajos lo reportó el 28) y, según TechTimes con datos de Shadowserver, al 31 de agosto había ",[16,223,224],{},"21,899 servidores vulnerables"," en el mundo. Ese ciclo, aviso, código público, servidores sin parchar, se va a repetir. La diferencia es que desde noviembre, para Exchange 2016 y 2019, ",[16,227,228],{},"ya no habrá parche que instalar",[73,230,232],{"id":231},"a-quién-le-toca","A quién le toca",[234,235,236,243,249],"ul",{},[237,238,239,242],"li",{},[16,240,241],{},"Empresas con Exchange 2016 o 2019 en sus instalaciones",", compraran o no el soporte extendido. Las que no lo compraron llevan desde octubre de 2025 sin parches públicos; las que sí, se quedan sin ellos en tres semanas.",[237,244,245,248],{},[16,246,247],{},"Configuraciones híbridas",", donde el servidor local sigue vivo \"solo para administrar\" o para que una aplicación envíe correo. Ese servidor también es superficie de ataque.",[237,250,251,254],{},[16,252,253],{},"Empresas que ya están en Microsoft 365"," pero nunca apagaron el Exchange viejo. Es más común de lo que parece y nadie lo parcha porque \"ya no se usa\".",[256,257],"ad-banner",{},[73,259,261],{"id":260},"qué-hacer-esta-semana","Qué hacer esta semana",[263,264,265,275,281,287,320],"ol",{},[237,266,267,270,271,274],{},[16,268,269],{},"Inventario de 10 minutos."," Confirma qué versión y CU tiene cada servidor Exchange, incluidos los que creías apagados. Mañana, ",[16,272,273],{},"martes 13 de octubre",", es el último Patch Tuesday dentro de la ventana del ESU: si Microsoft publica algo más para Exchange, llegará ahí o antes del 31.",[237,276,277,280],{},[16,278,279],{},"Si tienes ESU del Periodo 2,"," instala ya la V2 de septiembre (la de CVE-2026-96940), aunque ya tengas la original, y lo que salga mañana, en servidores y en equipos con herramientas de administración.",[237,282,283,286],{},[16,284,285],{},"Si no tienes ESU,"," asume que tu servidor ya tiene fallas conocidas sin corregir. Saca de internet todo lo que no sea indispensable (OWA, ECP, PowerShell remoto), exige MFA donde se pueda y revisa en el registro de auditoría de buzones accesos de una cuenta a buzones ajenos.",[237,288,289,292],{},[16,290,291],{},"Decide la salida antes del 31, aunque se ejecute en noviembre:",[234,293,294,304,310],{},[237,295,296,299,300,303],{},[16,297,298],{},"Exchange 2019 CU14/CU15 → Exchange SE",": actualización en el mismo servidor, el procedimiento es como el de un CU. Pide licencias con ",[16,301,302],{},"Software Assurance vigente"," o licencias de nube como Microsoft 365 E3/E5.",[237,305,306,309],{},[16,307,308],{},"Exchange 2016 → Exchange SE",": migración clásica con servidores nuevos en coexistencia y movimiento de buzones.",[237,311,312,315,316,40],{},[16,313,314],{},"Todo a Exchange Online",": apagar el servidor y dejar de cargar con los parches. Si estás evaluando plataforma, la comparación está en ",[64,317,319],{"href":318},"/blog/comparativa/google-workspace-vs-microsoft-365","Google Workspace contra Microsoft 365",[237,321,322,325,326,330],{},[16,323,324],{},"Respaldo verificado antes de cualquier migración."," Mover buzones sin un respaldo que hayas probado restaurar es apostar el correo de la empresa; la guía de ",[64,327,329],{"href":328},"/blog/tutorial/respaldo-sobrevivir-ransomware","respaldos para sobrevivir al ransomware"," aplica igual aquí.",[73,332,334],{"id":333},"contexto-octubre-cierra-varias-puertas-a-la-vez","Contexto: octubre cierra varias puertas a la vez",[12,336,337,338,342,343,347],{},"Este mes vencen o cambian de precio varios productos de Microsoft al mismo tiempo: ",[64,339,341],{"href":340},"/blog/noticias/office-2021-fin-soporte-13-octubre","Office 2021 deja de recibir parches el 13 de octubre",", Windows 10 entra al segundo año de soporte pagado al doble de precio y ",[64,344,346],{"href":345},"/blog/noticias/windows-server-2022-fin-soporte-principal","Windows Server 2022 sale del soporte principal",". De todos, Exchange es el único sin ninguna opción de pagar por más tiempo.",[12,349,350,351,354],{},"Un servidor de correo sin parches ",[16,352,353],{},"concentra contratos, cotizaciones, nómina y restablecimientos de contraseña"," de los demás sistemas. La decisión de este mes no es técnica: es si vale la pena mantener un servidor propio que ya nadie va a proteger.",{"title":356,"searchDepth":357,"depth":358,"links":359},"",2,3,[360,363,364,365],{"id":75,"depth":357,"text":76,"children":361},[362],{"id":156,"depth":358,"text":157},{"id":231,"depth":357,"text":232},{"id":260,"depth":357,"text":261},{"id":333,"depth":357,"text":334},"noticias",{"title":368,"description":369,"label":370,"to":371,"icon":372},"¿Tu servidor de correo se queda sin parches este mes?","Revisamos tu Exchange, aplicamos las últimas actualizaciones disponibles y te armamos el plan de salida a Exchange SE o a Microsoft 365 con costos y fechas.","Ver servicio de servidores","/servicios/servidores","i-lucide-server","2026-10-12","El soporte pagado de Exchange 2016 y 2019 termina el 31 de octubre de 2026 sin prórroga. El parche urgente CVE-2026-96940 muestra el riesgo que viene después.",false,"md",[378,381,384,387],{"question":379,"answer":380},"¿Qué pasa con mi Exchange 2016 o 2019 después del 31 de octubre de 2026?","El servidor sigue funcionando y el correo sigue fluyendo, pero Microsoft deja de publicar actualizaciones de seguridad para ambas versiones, incluso para quien pagó el programa de soporte extendido (ESU). Cualquier falla que se descubra desde noviembre se queda sin parche, aunque sea crítica y explotable a distancia.",{"question":382,"answer":383},"¿Puedo comprar otro periodo de soporte extendido?","No. El Periodo 2 del programa ESU cubre de mayo a octubre de 2026 y el equipo de Exchange de Microsoft escribió que no habrá más extensiones: terminado octubre no hay más actualizaciones para Exchange 2016 y 2019, aunque tengas ESU del Periodo 2. Según Messaging Architects, Microsoft lo confirmó el 20 de julio de 2026.",{"question":385,"answer":386},"¿Qué es CVE-2026-96940 y me afecta si uso Microsoft 365?","Es una falla de autorización en Exchange Server, con calificación CVSS 8.8, que permite a un usuario autenticado leer los buzones y adjuntos de otros usuarios de la misma organización. Microsoft publicó el aviso el 2 de octubre. Si tu correo está en Exchange Online no tienes que hacer nada: Microsoft ya aplicó la corrección en su servicio. Si tienes servidor propio, hay que instalar la actualización.",{"question":388,"answer":389},"¿Cuál es el camino más corto para salir de Exchange 2019?","Si estás en Exchange 2019 CU14 o CU15, la actualización en el mismo servidor a Exchange Server Subscription Edition (SE) se hace como un CU más. Desde Exchange 2016 no hay atajo: hay que montar servidores nuevos y mover buzones. La otra salida es llevar todo el correo a Exchange Online. Exchange SE pide licencias con Software Assurance vigente o licencias de nube como Microsoft 365 E3 o E5.",null,"/images/blog/noticias/exchange-2016-2019-fin-esu-31-octubre.jpg","Rack de servidores en un cuarto de sistemas con una pantalla de administración de correo y un aviso de fin de soporte","informational",[395,396,397,398],"exchange 2016 fin de soporte octubre 2026","exchange 2019 esu periodo 2","cve-2026-96940","migrar exchange server subscription edition",{},true,"/blog/noticias/exchange-2016-2019-fin-esu-31-octubre","2026-10-12T08:15:00-06:00",6,{"title":5,"description":374},"Exchange 2016 y 2019: fin del ESU el 31 de octubre","blog/noticias/exchange-2016-2019-fin-esu-31-octubre",[408,409,410,411],"ciberseguridad","correo empresarial","microsoft","servidores","l9Xo-nrLjEgge-OA3OY3Cltqmgg5sdS3e2SBkTpIS2M",{"path":414,"title":415},"/blog/noticias/secure-boot-certificado-pca-2011-vence-19-octubre","El 19 de octubre vence el último certificado de Secure Boot de 2011: cómo saber si tus equipos ya cambiaron",[417,423,429],{"path":418,"title":419,"description":420,"date":373,"category":366,"image":421,"imageAlt":422,"readingTime":403},"/blog/noticias/registro-lineas-celulares-empresas-15-octubre","Registro de celulares: las líneas que terminan en 4 vencen el jueves 15 y las de la empresa no se salvan solas","Las líneas con terminación 4 deben registrarse a más tardar el 15 de octubre y las de 5 el 31. Qué piden a las empresas y qué SIM se suelen olvidar.","/images/blog/noticias/registro-lineas-celulares-empresas-15-octubre.jpg","Escritorio de oficina con varios teléfonos celulares de la empresa, una terminal de cobro y un calendario marcado en octubre",{"path":424,"title":425,"description":426,"date":373,"category":366,"image":427,"imageAlt":428,"readingTime":403},"/blog/noticias/gpts-personalizados-se-retiran-11-diciembre","Los GPTs personalizados de ChatGPT dejan de funcionar el 11 de diciembre: faltan 60 días para migrarlos","OpenAI retira los GPTs personalizados de ChatGPT el 11 de diciembre de 2026 y los cambia por plugins. Qué se migra solo, qué hay que rehacer y cómo empezar.","/images/blog/noticias/gpts-personalizados-se-retiran-11-diciembre.jpg","Pantalla de computadora con un asistente de IA y una lista de asistentes personalizados marcados para migración",{"path":414,"title":415,"description":430,"date":431,"category":366,"image":432,"imageAlt":433,"readingTime":434},"El certificado PCA 2011 que firma el arranque de Windows vence el 19 de octubre de 2026. Qué pasa con los equipos que no cambien y cómo revisarlos.","2026-10-11","/images/blog/noticias/secure-boot-certificado-pca-2011-vence-19-octubre.jpg","Computadora de escritorio arrancando con el logotipo del fabricante en pantalla en una oficina",5,{"id":436,"avatar":390,"bio":437,"entityType":438,"expertise":439,"extension":440,"meta":441,"name":6,"role":442,"slug":443,"social":390,"stem":444,"url":7,"__hash__":445},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]