Fin de support Exchange 2019 et 2016 : plus aucun correctif après le 31 octobre 2026

Le 31 octobre, le sursis d'Exchange 2016 et 2019 se termine

Le 31 octobre 2026, Microsoft publie ses dernières mises à jour de sécurité pour Exchange Server 2016 et 2019. Après cette date, plus aucun correctif, même pour les organisations qui ont payé le programme de mises à jour étendues (ESU). La fin de support d'Exchange 2019 et 2016 remonte pourtant au 14 octobre 2025 : ce qui se termine maintenant, c'est le sursis.

L'équipe Exchange l'a confirmé : il n'y aura pas de troisième période. Toute organisation qui fait encore tourner un serveur Exchange sur site, y compris le seul serveur hybride gardé « pour l'administration », a quatre semaines pour décider de la suite.

Fin de support Exchange 2019 et 2016 : le calendrier réel

Le sursis s'est fait en deux temps, et le second ne se renouvelle pas.

• 14 octobre 2025 : fin du support d'Exchange 2016 et d'Exchange 2019.
• Octobre 2025 à avril 2026 : première période ESU.
• 1er mai au 31 octobre 2026 : seconde période, vendue sous un contrat distinct. L'inscription à la première ne se reportait pas.
• Après le 31 octobre 2026 : aucun correctif, quelle que soit la gravité de la faille.

Une couverture étroite, même pendant le sursis

Seules les failles jugées critiques ou importantes par Microsoft étaient corrigées, et seulement sur Exchange 2016 CU23 et Exchange 2019 CU14 ou CU15. Un serveur resté sur une mise à jour cumulative plus ancienne n'était pas couvert, ESU ou non.

Pourquoi un Exchange non corrigé est un risque à part

Un serveur Exchange n'est pas un serveur de fichiers caché derrière le pare-feu. Il publie Outlook sur le web, ActiveSync et Autodiscover sur Internet, il détient les boîtes de toute l'organisation et il a des droits élevés dans Active Directory. C'est une cible connue : les failles ProxyLogon de mars 2021 ont été exploitées massivement en quelques jours.

Garder un tel serveur sans correctifs, c'est aussi un enjeu de conformité. La Loi 25 au Québec et le RGPD en France exigent des mesures de sécurité raisonnables pour protéger les renseignements personnels. Un système exposé et volontairement non corrigé se défend mal après un incident de confidentialité.

Trois voies de sortie

Le bon choix dépend de ce qui reste sur site et de la raison pour laquelle c'est encore là.

• Exchange Server SE (Subscription Edition), pour rester sur site. Depuis Exchange 2019 CU14 ou CU15, la mise à niveau se fait sur place, comme une mise à jour cumulative. Depuis Exchange 2016, pas de raccourci : il faut ajouter de nouveaux serveurs, migrer les boîtes, puis retirer les anciens. Le modèle passe à l'abonnement.
• Exchange Online, pour sortir du cycle des correctifs. Les boîtes migrent vers Microsoft 365 et la question des mises à jour de serveur disparaît.
• Le retrait du dernier serveur hybride. Beaucoup d'organisations déjà dans Exchange Online gardent un Exchange 2016 ou 2019 uniquement pour gérer les destinataires. Microsoft permet de le retirer et de passer aux outils de gestion Exchange en PowerShell, à certaines conditions : plus aucune boîte ni dossier public sur site, synchronisation par Entra ID Connect ou par cloud sync, et aucun besoin du centre d'administration Exchange local ni de l'audit des actions d'administration.

Le piège de la coexistence

La migration douce, où l'ancien et le nouveau serveur cohabitent le temps de déplacer les boîtes, a une date d'expiration. Selon la documentation Microsoft, l'installation d'Exchange SE CU2 refusera la coexistence avec toute version d'Exchange non supportée au moment de sa sortie. Exchange 2016 et 2019 seront dans ce cas. Aucune date de sortie n'est annoncée à ce jour.

Concrètement, une organisation qui attend risque de devoir retirer tous ses anciens serveurs avant de pouvoir installer la mise à jour suivante d'Exchange SE. C'est une bascule beaucoup plus brutale qu'une migration progressive. Et pour celles qui ont encore Exchange 2013 dans l'environnement, Exchange SE refuse déjà de cohabiter avec lui dès sa première version.

Quatre semaines : par où commencer

Le 31 octobre ne laisse pas le temps d'un grand projet, mais il laisse le temps de décider et de réduire le risque.

• Inventorier tous les serveurs Exchange, hybrides et « oubliés » compris, avec leur version et leur mise à jour cumulative.
• Lister ce qui passe encore par eux : relais SMTP des applications et des multifonctions, boîtes partagées, dossiers publics, connecteurs.
• Choisir une cible par serveur : Exchange SE, Exchange Online ou retrait pur et simple.
• Si la migration déborde après le 31 octobre, limiter ce qui est publié sur Internet et renforcer la surveillance du serveur en attendant.

Conclusion : décider avant le dernier correctif

Le 31 octobre n'est pas une date de plus dans le calendrier Microsoft. C'est le dernier jour où un Exchange 2016 ou 2019 peut encore être corrigé. Après, chaque nouvelle faille restera ouverte pour de bon.

Si vous ne savez pas exactement combien de serveurs Exchange tournent encore chez vous, ni ce qui en dépend, parlez-en à un expert io4. Nous faisons l'inventaire, nous recommandons la bonne cible pour chaque serveur et nous menons la migration vers Exchange Online ou Exchange SE.