Tu último Exchange Server ya tiene fecha límite

Microsoft no suele avisar a nadie cuando Exchange Online sube la versión mínima desde la que acepta correo. El listón ha ido subiendo en silencio con cada actualización de seguridad desde 2023. El 2 de septiembre, el equipo de Exchange hizo una excepción y lo contó en una entrada de blog, y el motivo por el que lo hizo es precisamente lo interesante.

Desde la segunda semana de septiembre, un servidor Exchange 2016 o 2019 que entrega correo a Exchange Online a través del conector de entrada híbrido tiene que tener instalada la actualización de seguridad de octubre de 2025. Resulta que es la última actualización pública que Microsoft ha publicado para esas dos versiones. Todo lo anterior queda desactualizado a ojos de Exchange Online, lo que significa primero un informe, un mes después correo retrasado y, a los tres meses, ningún correo. El comentario de la propia Microsoft sobre el plazo: «This update level was released almost a year ago, and all organizations should have updated to it.» Es razonable.

Qué ocurre, día a día

Nadie se queda desconectado de la noche a la mañana. Exchange Online usa el mismo sistema de medidas basado en el transporte que Microsoft creó en 2023, y aprieta la tuerca poco a poco. Durante los primeros 30 días después de que se marque un servidor, no cambia nada para nadie. El servidor simplemente aparece en un informe que la mayoría de los administradores no ha abierto nunca. Después la cosa se vuelve incómoda en escalones de diez días: Exchange Online empieza a responder con un 450 temporal durante cinco minutos cada hora, luego diez, luego veinte. Tu servidor encola el correo y lo vuelve a intentar, así que todo sigue llegando, solo que tarde, y el primer ticket dice algo como «el escaneo tardó veinte minutos en aparecer».

A partir del día 61 se suma un 550 permanente. Ahora el mensaje ya no espera en una cola, sino que rebota. Y esta es la parte que duele en una configuración con relay: el rebote vuelve al remitente, y el remitente es un escáner en la sala de la fotocopiadora con una dirección de remitente que nadie lee. El documento simplemente desaparece. A partir del día 91, desaparecen todos.

Puedes ver qué servidores están afectados en el Exchange admin center, en Reports > Mail flow > Out-of-date connecting on-premises Exchange servers. La misma página tiene un enlace Enforcement Pause, y PowerShell hace lo mismo:

New-TenantExemptionInfo -BlockingScenario UnpatchedOnPremServer -NumberOfDays 30

Cada tenant dispone de 90 días de pausa por año natural, y puedes repartirlos como quieras. Hay dos cosas que conviene saber antes de gastarlos. Los días cuentan desde el momento en que los solicitas, así que parchear a la mañana siguiente no te los devuelve. Y una pausa solo sirve para ganar tiempo; no cambia nada sobre hacia dónde va todo esto.

Parchear da meses, no años

Instalar la actualización de octubre de 2025 te saca de la lista, por ahora. Pero Microsoft fue inusualmente clara sobre lo que viene después. Dentro de varios meses, según su propia estimación, la versión mínima vuelve a subir, y esta vez a una build a la que no llega ninguna actualización pública. Desde ese día solo dos tipos de servidores podrán seguir entregando correo a Exchange Online: los que están en el programa de pago Extended Security Update, cuyo segundo periodo termina en octubre de 2026 sin que haya previsto un tercero, y Exchange Server Subscription Edition. Si tienes Exchange 2019 CU14 o CU15, puedes actualizar a SE in situ. Con Exchange 2016 toca un servidor nuevo y una migración.

Así que la máquina que lleva años funcionando en la sala de servidores sin que nadie la toque necesita ahora una suscripción, un proyecto de migración o un plan para apagarla. Ya no existe una cuarta opción, y eso, más que la propia limitación, es la noticia de la entrada de Microsoft.

Sobre ese último servidor

Vemos la misma imagen en la mayoría de los clientes híbridos. Los buzones se trasladaron a Exchange Online hace años, y un Exchange Server se quedó atrás con dos tareas: gestiona los atributos de destinatario en Active Directory y hace de relay del correo de las impresoras, los escáneres, la supervisión, el ERP y cualquier otra cosa del edificio que todavía hable SMTP básico.

La primera tarea no necesita un servidor desde 2022. Desde Exchange 2019 CU12, las Exchange Management Tools se encargan por sí solas de la gestión de destinatarios, y Microsoft recomienda apagar el último servidor en lugar de desinstalarlo. Queda el relay. Es la única tarea que mantiene vivo el servidor y también, con cierta ironía, exactamente el tráfico que examinan estas medidas, porque todo lo que los dispositivos entregan a ese servidor sale por el conector OnPremises que Exchange Online comprueba ahora.

Qué hacer esta semana

1. Abre el informe y anota cada servidor que aparezca. Si está vacío, o es una buena noticia o tienes un conector de tipo Partner; las medidas solo miran los de tipo OnPremises, por ahora.
2. Compara las builds con la lista de números de build de Microsoft e instala la actualización de octubre de 2025 donde falte. Para un servidor es cosa de una tarde, no un proyecto.
3. Guarda los días de pausa para una emergencia de verdad. Noventa parecen muchos hasta que has gastado sesenta en el mes equivocado.
4. Decide qué pasa después de la siguiente subida: ESU hasta octubre, Exchange SE o apagarlo.

Si el relay es el único motivo por el que ese servidor sigue existiendo, la cuarta decisión es la fácil. Creamos Sendman exactamente para ese caso, pero eso es otra entrada.

Fuentes

• Microsoft Exchange Team: Exchange 2016/2019: Throttling and Blocking up to the Final Public Update Baseline, 2 de septiembre de 2026
• Microsoft Exchange Team: Throttling and Blocking Email from Persistently Vulnerable Exchange Servers to Exchange Online, mayo de 2023
• Microsoft Exchange Team: How to pause throttling and blocking of out-of-date on-premises Exchange Servers
• Microsoft Exchange Team: Announcing Period 2 Exchange 2016/2019 Extended Security Update (ESU) program
• Microsoft Learn: Manage recipients in Exchange Hybrid environments using Management tools
• heise online: Alte Exchange-Server riskieren Mailblockaden
• CodeTwo: Exchange Online transport enforcement system explained, los minutos por escalón de la figura