Artık takvimin sonundayız. Exchange Server 2016 ve 2019 için destek sonu 14 Ekim 2025’te geldi. Bu tarihten sonra tek yasal güvenlik yama kanalı olan Extended Security Update (ESU) programı ise Ekim 2026 sonunda kesin olarak kapanıyor — uzatma yok, dönem 3 yok. Microsoft bunu Temmuz 2026’da Tech Community duyurusuyla bir kez daha netleştirdi.
Yani önümüzde, on-prem Exchange mimarisini yeniden kurmak için yaklaşık bir Patch Tuesday döngüsü kaldı.
1. Destek sonu takvimi: Neredeyiz?
| Tarih | Olay |
|---|---|
| Mayıs 2024 | Microsoft, Exchange yol haritasını açıkladı: 2016/2019 EOL + yeni nesil SE |
| 1 Temmuz 2025 | Exchange Server Subscription Edition (SE) GA — 2019’dan beri ilk yeni on-prem sürüm |
| 14 Ekim 2025 | Exchange 2016 ve 2019 destek sonu; ESU programı başlangıcı |
| 8 Eylül 2026 | Eylül Patch Tuesday: KB5121609 ile Exchange 2019 CU15 için 8 CVE kapatıldı |
| Ekim 2026 sonu | ESU Period 2 bitişi — 2016/2019’a artık hiçbir güvenlik güncellemesi gelmeyecek |
Son yama detayı durumu özetliyor: Exchange 2019 CU15 hâlâ yama alıyor (KB5121609; CVE-2026-55007, CVE-2026-69355/56/61/75/78/82, CVE-2026-69641). Ancak bu, gelen son düzenli güvenlik güncellemesi olacak. Ekim 2026’dan sonra aynı kritiklikte CVE’ler bulunduğunda kurulacak bir yama bulunmayacak.
2. Hiçbir şey yapmazsan ne olur?
Bu bölümü hafife alma; çünkü Exchange, on yıldır kurumsal ağlara yönelik saldırıların bir numaralı ilk temas noktası.
- Örneğin CVE-2026-62911: Ağustos 2026’da kapatılan bu auth-bypass açığı 2016, 2019 ve SE’yi etkiliyor. Yetkili bir saldırgan, capture-replay tekniğiyle organization’daki tüm kullanıcıların posta kutularını ele geçirebiliyor.
- Buna paralel olarak Shadowserver taramaları, hâlâ yamalanmamış ve internete açık 21.899 Exchange sunucusu tespit etti. Bunların önemli bir kısmı desteği çoktan bitmiş 2013/2016’lar.
- Sonuç olarak desteği bitmiş Exchange; devlet destekli gruplar ve fidye yazılımı operatörleri için en yüksek değerli hedef olmaya devam ediyor. WAF, ağ segmentasyonu, EDR veya EEMS (Exchange Emergency Mitigation Service) gibi telafi edici kontroller yasal bir yama programının yerini tutmaz — Microsoft da bunu açıkça belirtiyor.
- Peki ESU aldıysan? Unutma ki ESU yalnızca Critical/Important güvenlik yamalarını kapsar; support ticket hakkı, non-security fix, tasarım değişikliği ve yardım içeriklerini kapsamaz. Yani kırık bir transport pipeline veya DAG problemiyle ESU kapsamında baş başa kalırsın.
3. Üç gerçekçi yol
Yol A — Exchange Online’a geçiş (M365)
İlk seçenek, Microsoft’un varsayılan önerisi. Hibrit ile kademeli taşıma (staged migration) veya doğrudan göç mümkündür. Böylece düzenli yönetim maliyeti, on-prem altyapı ve lisanslama yükü büyük ölçüde kalkar. Kısacası regülasyon, veri sahipliği veya offline çalışma zorunluluğu olmayan kurumlar için varsayılan cevap bulut olmalı.
Yol B — Exchange Server Subscription Edition (SE)
On-prem kalmak isteyenler için tek desteklenen yol. SE’nin kritik özellikleri:
- Modern Lifecycle: Önceden ilan edilmiş bir emeklilik tarihi yok; güncel kaldıkça desteklenmeye devam eder. Yeni EOL sürprizi istemiyorsan SE, CU/SU akışını takip etmeyi gerektirir.
- Servis modeli: Yılda ~2 Cumulative Update + düzenli SU/HU. Artık “bir daha hiç büyük sürüm almayacağım” devri kapandı. Dolayısıyla SE’de kalmak, Windows Update disiplini gibi bir yama disiplini demektir.
- Var olma (coexistence) kuralları: SE RTM, Exchange 2013 ile yan yana çalışmayı kurulumda engeller. SE’nin ilerleyen CU’larında kurulum, o an desteklenmeyen hiçbir Exchange sürümüyle (2016/2019 dahil) coexistence’ı engelleyecek. Yani organizasyonda desteklenmeyen eski Exchange sunucusu bırakmak artık bir seçenek değil.
- Ürün anahtarı: SE RTM kurulumu, 2016/2019’dan yükseltmede yeni ürün anahtarı gerektirmez; ancak yeni bir CU’da anahtar zorunluluğu gelecek (Microsoft bu değişikliği duyuracak). Bu yüzden şimdiden sürpriz yaşamamak için lisans ekibinle teyitte kal.
Yol C — EOL 2016/2019 ile devam etmek
Tavsiye edilmez; bu bir strateji değil, ertelemedir. Zira yama kanalı kapalı bir mail sunucusunu internete açık tutmak, yukarıdaki CVE-2026-62911 senaryosunda kendini gönüllü hedef listesine yazdırmaktır. Yalnızca internete kapalı, izole test/lab sistemler için düşünülebilir.
4. SE’ye geçiş yöntemleri: Hangi sürümden nasıl?
Öncelikle netleştirelim: Microsoft’un resmi geçiş dokümantasyonuna göre iki yöntem var:
In-place upgrade (Yerinde yükseltme)
- Yalnızca Exchange 2019 CU14 veya CU15’ten desteklenir. Mevcut kurulumun üzerine SE kurulur — tıpkı bir CU uygular gibi.
- Düşük riskli kabul edilir; mailbox, DAG ve sanal dizin yapın yerinde kalır.
- Ön koşullar üçlü: Güncel Windows Server, doğru .NET ve hazır Exchange seviyesi. Sunucu OS’u Windows Server 2019 / 2022 / 2025 olmalı (Server Core önerilir). .NET Framework 4.8 veya 4.8.1 gerekir. Exchange en az CU14/CU15 seviyesinde olmalı.
Legacy migration (Eski usul göç)
- Exchange 2016’dan SE’ye in-place upgrade YOKTUR. 2016 kullanıyorsan ya önce 2019 CU14+’a iki adımlı geçiş yapmalı (bu da ekstra bakım penceresi demek), ya da doğrudan yeni SE sunucularına mailbox göçü yapmalısın.
- Ayrıca yeni donanım veya yeni Windows Server sürümüne geçeceksen her durumda bu yolu izlersin: SE sunucularını ekle → mailboxları taşı → eski sunucuları kaldır.
- Son adım olarak hibrit organizasyonlarda göçü, Hybrid Configuration ve mail flow testleriyle birlikte planla.
Pratik not: Geçiş senaryona göre adım adım checklist üretmek için Microsoft Exchange Server Deployment Assistant‘ı kullanmayı unutma; karışık ortamlarda (çoklu site, DAG, load balancer) en güvenilir çıkış yolunu o verir.
5. Lisans gerçekleri: En çok karıştırılan bölüm
SE, Exchange tarihinin en büyük lisans kırılması: perpetual (kalıcı) lisans devri kapandı.
- SE’yi güncel kullanmak için aktif Software Assurance (SA) veya abonelik lisansı gerekir. Model, Windows Server / SQL ile aynı subscription lisanslamasıdır.
- Dahası, SA süresi dolarsa SE güncellemelerini almaya devam edemezsin; yalnızca Exchange 2019 sürümünün kullanım hakların yürürlükte kalır. 2019 artık EOL olduğu için bu, kendini sessizce desteği bitmiş üründe bulmak demektir.
- Extended Use Rights (EUR) yalnızca EA/MPSA anlaşmaları üzerinden söz konusudur. CSP üzerinden alınan Microsoft 365 E3/E5 lisansları, Exchange SE için qualifying (uygun) bir right SAĞLAMAZ. “Elimde zaten E5 var, on-prem Exchange de kapsanıyor” varsayımı bu yüzden tehlikeli. Kurumsal lisans danışmanınla (veya SAM uzmanıyla) geçişten önce konuş.
- Son olarak donanım/OS tarafı: Sanallaştırma desteği devam eder. Bununla birlikte kaynak planında Mailbox rolü için 128 GB RAM’e kadar çıkan resmi önerileri ve hybrid yapıların DC/GC gereksinimlerini göz önüne al.
6. Karar matrisi
| Kriter | Exchange Online | Exchange SE (on-prem) | EOL 2016/2019 kal |
|---|---|---|---|
| Ekim 2026 sonrası güvenlik yaması | ✅ Sürekli | ✅ (güncel kalırsan) | ❌ Yok |
| Perpetual lisans | ❌ Abonelik (M365) | ❌ SA/Abonelik | — |
| Tam veri kontrolü / regülasyon | ⚠️ Sınırlı | ✅ | ✅ |
| Altyapı & işletme yükü | ✅ Düşük | ⚠️ Devam eder | ⚠️ Yüksek risk |
| Kurumsal kimlik/özellik yeniliği | ✅ Hızlı | ⚠️ Yavaş, stabilize | ❌ |
| Migration eforu (2016’dan) | Mailbox göçü | Legacy migration (in-place yok!) | — |
| Migration eforu (2019 CU14/15’ten) | Hybrid + cutover | In-place upgrade (düşük risk) | — |
7. Ekim 2026’ya kadar aksiyon planı
- Envanter çıkar (bu hafta): Exchange sürüm/CU ve OS seviyelerini, sanal/fiziksel durumu ve DAG yapısını listele. Sertifika, load balancer ve DNS bağımlılıklarını not et. Üçüncü parti entegrasyonları unutma: ActiveSync proxy, fax, uygulama mail hesapları.
- CVE-2026-62911 dahil tüm Ağustos–Eylül 2026 yamalarını kur — hangi yolu seçersen seç, temiz bir taban üzerinden geçiş yap.
- Ardından karar ver (2 hafta): XO365 mi, SE mi? Regülasyon ve gecikme hassasiyeti olmayan her iş yükü için bulutu ciddiye al; karma (kalıcı SE + hybrid) senaryoyu da hesapla.
- Lisans fizibilitesi (paralel): EA/MPSA/CSP farklarıyla SA maliyeti, EUR durumun, SAM danışman görüşü. Bu kalemi sona bırakırsan takvimi kaçırırsın.
- Test ortamında prova: In-place için bir DAG member’ı üzerinde; legacy migration için küçük bir mailbox batch’i ile tam akış.
- Pencere planla: Son çeyrek yorgunluğuna kalma. Ayrıca yıl sonu değişim dondurma (change freeze) dönemlerini hesaba kat.
- Giden yolu kapatma: Geçiş tamamlanana kadar EEMS, transport/log izleme ve EDR alarmlarını Exchange üzerinde aktif tut; geçiş sonrası internete açık EOL sunucu bırakma.
8. Sıkça sorulanlar
ESU’yu Period 2’ye kadar aldım, biraz daha zamanım yok mu?
Yok. Period 2, Ekim 2026’da bitiyor ve Microsoft “bu tarihten sonra güvenlik güncellemesi gelmeyecek” ifadesini net kullanıyor. Oysa Office tarafındaki 3 yıllık ESU yapısı Exchange’de hiç olmadı.
2016’yı doğrudan SE’ye yükseltebilir miyim?
Hayır. Maalesef 2016’dan in-place upgrade desteklenmiyor. Bu yüzden ya 2019 CU14+ üzerinden iki adımlı geçiş yapacaksın ya da doğrudan yeni SE sunucularına mailbox göçü.
SE’de de ileride EOL tarihi var mı?
Modern Lifecycle sayesinde önceden ilan edilmiş bir emeklilik tarihi yok; ancak güncel CU akışını takip etmeyi bıraktığın an destek penceren kapanır — bu sefer “3 yıl sonra” değil, o an.
Exchange 2019 CU15 son perpetual sürüm mü?
Evet, 2019 CU15, klasik perpetual lisans modeliyle çıkan son on-prem Exchange sürümü olarak geçiyor.
Kaynaklar
- Microsoft Tech Community — Exchange 2016/2019 ESU programının Ekim 2026’da bittiği hatırlatması
- Microsoft Learn — Upgrading to Exchange Server Subscription Edition (SE)
- Microsoft Learn — Exchange Server SE supportability matrix ve system requirements
- Microsoft — KB5121609 (Eylül 2026 Exchange güvenlik güncellemesi)
- Microsoft Learn — Exchange Server Subscription Edition lifecycle sayfası
- Unit 42 / CVE.org — CVE-2026-62911 analizi; Shadowserver tarama rakamları (Help Net Security, Cybernews)
- Messageware / Scott Schnoll — Exchange SE lisans analizi serisi
24 yıllık saha tecrübesiyle net konuşayım: Exchange’de “bir dahaki yamaya kadar idare eder” cümlesinin sonu hep aynı bitti. Kararı bu çeyrekte ver; geçişi değil, sadece kararı.
