Microsoft ha annunciato che dalla seconda settimana di settembre 2026, i server Exchange 2016 e Exchange 2019 che utilizzano un connettore inbound di tipo OnPremises per inviare messaggi verso Exchange Online dovranno essere aggiornati almeno al livello dell’ultimo Public Update reso disponibile nell’ottobre 2025.

Microsoft applica da diversi anni un meccanismo di throttling e blocco nei confronti delle installazioni Exchange considerate gravemente obsolete, con l’obiettivo di impedire che server vulnerabili continuino a rappresentare un punto debole per l’intero ecosistema Microsoft 365. La novità consiste nel fatto che il nuovo limite porta il requisito fino all’ultima baseline pubblica disponibile per Exchange 2016 e 2019.

Secondo Microsoft, si tratta di un aggiornamento disponibile da quasi un anno e, di conseguenza, le organizzazioni avrebbero già avuto un periodo sufficientemente lungo per adeguarsi. Chi gestisce ancora infrastrutture Exchange locali, dovrà quindi verificare con particolare attenzione la versione installata e il livello di aggiornamento raggiunto prima dell’entrata in vigore della nuova policy.

Il provvedimento va interpretato anche alla luce della particolare situazione di Exchange 2016 e 2019. Entrambe le versioni hanno ormai raggiunto la fine del loro normale ciclo di supporto e Microsoft sta spingendo i clienti verso Exchange Server Subscription Edition oppure verso Exchange Online. Il margine per mantenere indefinitamente una vecchia infrastruttura locale si restringe quindi progressivamente.

Exchange Online

La questione riguarda però molte più organizzazioni di quanto potrebbe sembrare. Exchange on-premise continua infatti a essere utilizzato in scenari ibridi, per applicazioni aziendali che dipendono dal server di posta locale, per sistemi legacy e per specifiche architetture nelle quali la completa migrazione al cloud non è ancora praticabile.

È importante anche precisare la portata tecnica del provvedimento. Il throttling e l’eventuale blocco non vengono applicati indistintamente a tutti i server Exchange presenti nell’organizzazione. La misura interessa infatti i server che inviano posta verso Exchange Online attraverso un inbound connector configurato come OnPremises. Altri metodi di distribuzione della posta non rientrano necessariamente nell’intervento annunciato.

Per gli amministratori il problema è trovare il giusto equilibrio tra rapidità di aggiornamento e stabilità operativa. Applicare una patch di sicurezza a un sistema di posta mission-critical comporta infatti sempre una valutazione del rischio. Un server Exchange non aggiornato può essere esposto a vulnerabilità note e diventare un bersaglio privilegiato, ma anche un aggiornamento apparentemente ordinario deve essere verificato in relazione alle configurazioni esistenti, alle applicazioni collegate e agli scenari ibridi.

La politica di Microsoft rende però sempre meno sostenibile rimandare queste decisioni. Il rischio infatti è che un’organizzazione che mantiene Exchange a un livello di patch insufficiente possa arrivare a subire direttamente una limitazione nella capacità di consegnare messaggi verso Exchange Online. Per gli amministratori diventa quindi prioritario controllare il livello di Public Update dei server Exchange 2016 e 2019, identificare quali macchine utilizzano effettivamente connettori OnPremises verso Exchange Online e verificare eventuali dipendenze applicative prima della scadenza.

(Immagine in apertura: Shutterstock)