Программа Extended Security Update (ESU) для Exchange Server 2016 и 2019

Дата подготовки: 11:30:50 ()

Содержание

1. Что такое программа Extended Security Update (ESU)
2. Хронология ESU для Exchange 2016 и 2019
3. Основные изменения в накопительных пакетах обновления (CU) после ESU
4. Exchange Server Subscription Edition (SE) – что изменилось
5. Рекомендации по миграции, hardening и дальнейшим действиям

Что такое программа Extended Security Update (ESU)

Программа Extended Security Update (ESU) – это платная подписка, предоставляющая дополнительные обновления безопасности для продуктов, выходящих из основного срока поддержки. Для Exchange Server 2016 и 2019 она была запущена после окончания обычного срока поддержки и позволяет организациям получать критически важные исправления до октября 2026 года.

Основные особенности ESU:

• Обновления выпускаются не ежемесячно, а только при наличии критических или важных изменений в продукте.
• Каждый накопительный пакет обновления (CU) является полной установкой Exchange и включает все изменения из предыдущих CU.
• Для получения ESU необходимо заключить новый контракт через команду учётной записи Microsoft (требуется действующее Enterprise Agreement).

Хронология ESU для Exchange 2016 и 2019

Согласно информации из официальных источников (Microsoft Learn, Microsoft Community Hub, ITdaily) на момент :

• Первый период ESU – с мая 2025 по октябрь 2025 (6 месяцев);
• Второй период ESU – с мая по октябрь 2026 года (также 6 месяцев). Организации, участвовавшие в первом периоде, не зачисляются автоматически; необходимо оформить новый контракт.
• Поддержка заканчивается 31 октября 2026 года. После этой даты обновлений для Exchange 2016/2019 больше не будет, даже при наличии активного ESU.

В рамках второго периода ESU планируется предоставлять обновления безопасности для следующих версий:

• Exchange Server 2016 CU23
• Exchange Server 2019 CU14 или CU15

Основные изменения в накопительных пакетах обновления (CU) после ESU

Exchange Server 2016 CU23

CU23 – последний накопительный пакет, получающий обновления безопасности в рамках ESU. В него включены:

• Исправления уязвимостей типа Remote Code Execution (RCE) и Elevation of Privilege, обнаруженных в первой половине 2026 года.
• Улучшения в работе клиентского доступа (Outlook on the web, Outlook Mobile) после обнаружения проблем с аутентификацией через современные протоколы (OAuth 2.0).
• Обновления компонентов Transport и Mailbox для соответствия новым требованиям TLS 1.2/1.3.
• Минимальные изменения в интерфейсе администрирования (EAC) – mainly bug‑fixes.

Exchange Server 2019 CU14 и CU15

CU14 и CU15 представляют собой два последних накопительных пакета, поддерживаемых в ESU.

CU14 (выпущен июнь 2026)

• Критическое исправление KB5094142 (описано в Microsoft Support) – устранение уязвимости, позволяющей удалённому злоумышленнику выполнить произвольный код через специально crafted запрос к Frontend Transport.
• Обновление политик аудита, добавляющее новые типы событий для соответствия требованиям CISA и NIST 800‑53.
• Улучшения в работе Unified Messaging (UM) при интеграции с Azure Communication Services.

CU15 (выпущен июль 2026 – текущая последняя версия)

• Полноценная база кода, идентичная Exchange Server Subscription Edition (SE) RTM (см. ниже).
• Дополнительные исправления в области Anti‑Spam и Anti‑Malware движков, включая новые сигнатуры для угроз, обнаруженных в Q2‑Q3 2026.
• Оптимизация использования памяти в процессах Worker Process (w3wp) при высокой нагрузке на почтовые ящики (>10 000 пользователей).
• Поддержка новых версий SQL Server 2022 в качестве backend для баз данных Exchange.

Важно отметить, что каждый из этих CU содержит полную установку Exchange, поэтому при обновлении с более ранних версий достаточно скачать и установить нужный пакет – все предыдущие исправления будут применены автоматически.

Exchange Server Subscription Edition (SE) – что изменилось

Exchange Server Subscription Edition (SE) была выпущена как модель «по подписке», обеспечивающая непрерывный поток обновлений без необходимости планировать отдельные ESU‑периоды.

Основные отличия SE от традиционного Exchange 2019:

• Базовый код SE RTM эквивалентен Exchange Server 2019 CU15.
• Отсутствует необходимость в отдельных накопительных пакетах – обновления доставляются как месячные пакеты безопасности (Security Updates, SU) и квартальные функциональные обновления (Feature Updates, FU).
• Встроенная поддержка гибридных сценариев с Microsoft 365, включая упрощённую настройку гибридного современного подключения (Hybrid Modern Authentication).
• Изменения в лицензировании: SE лицензируеться по подписке на пользователя или на сервер, что позволяет более гибко масштабировать расходы.
• Дополнительные улучшения в области Zero Trust и Conditional Access – интеграция с Azure AD Identity Protection.

Для организаций, которые не могут немедленно перейти на SE, рекомендуется оставаться на последнем поддерживаемом CU (CU23 для 2016, CU15 для 2019) и планировать миграцию в течение оставшегося периода ESU (до октября 2026).

Рекомендации по миграции, hardening и дальнейшим действиям

Оценка текущего состояния

• Определите текущий уровень CU на каждом сервере Exchange (Get-ExchangeServer | Format-List Name, AdminDisplayVersion).
• Проверьте наличие активного ESU‑контракта через портал Microsoft Volume Licensing или через ваш учётный запись Microsoft.

Планирование обновления

• Если вы находитесь ниже CU23 (2016) или CU15 (2019), спланируйте обновление до соответствующего уровня до конца сентября 2026, чтобы гарантировать получение последних ESU‑обновлений.
• Тестируйте обновление в изолированной среде (lab) перед применением в продакшене.
• После обновления выполните проверку здоровья сервера (HealthChecker, Exchange Best Practices Analyzer).

Hardening и соответствие рекомендациям Microsoft/CISA

• Включите TLS 1.2 как минимум и отключите устаревшие протоколы (SSLv3, TLS 1.0/1.1) на уровне ОС и IIS.
• Настройте ограничение доступа к административным интерфейсам (EAC, EMS) через VPN или Privileged Access Workstation (PAW).
• Включите журналирование аудита для всех критических операций (New-Mailbox, Set-TransportRule, Add-ADPermission) и направьте журналы в SIEM.
• Регулярно обновляйте антивирусные и антиспамовые движки (через SU или через отдельные пакеты определения угроз).
• Рассмотрите внедрение Azure AD Conditional Access для защиты доступа к OWA и Outlook Mobile.

Миграция на Exchange Server SE (если планируется)

• Изучите документацию «Миграция организации с текущих версий до Exchange Server SE» (Microsoft Learn).
• Выберите путь: прямой апгрейд (in‑place) или развертывание новых серверов SE с последующим переносом почтовых ящиков (миграция через).
• Убедитесь, что ваша инфраструктура соответствует предварительным требованиям SE (поддерживаемая версия Windows Server, SQL Server, достаточное количество ресурсов CPU/RAM/диска).
• После миграции проведите проверку гибридного подключения и функций соответствия (eDiscovery, архивация).

Что делать после октября 2026?

• Если к этому моменту миграция на SE не завершена, рассмотрите переход на Microsoft 365 (Exchange Online) как долгосрочную альтернативу.
• Для организаций, оставляющих Exchange on‑premises после ESU, обязательно изолируйте серверы от внешней сети и ограничьте их использование только внутренними приложениями, принимая на себя повышенный риск.

На момент программы Extended Security Update обеспечивают критически важные обновления безопасности для Exchange Server 2016 (CU23) и Exchange Server 2019 (CU14/CU15) до конца октября 2026 года. После этой даты поддержка прекратится, и организациям потребуется либо перейти на Exchange Server Subscription Edition (SE), либо мигрировать в облако (Microsoft 365), либо принять на себя повышенный риск при continued использовании неподдерживаемых версий.

Своевременное обновление до последних CU, соблюдение рекомендаций по hardening и планирование миграции на SE помогут сохранить защищённость и соответствие корпоративным стандартам безопасности в условиях завершения жизненного цикла Exchange 2016/2019.

Будьте проактивны: проверьте текущий уровень ESU, обновитесь до актуального CU, оформите необходимый контракт и начните подготовку к переходу на подписочную модель или облако уже сегодня.