Exchange Server 2016 et 2019 : Microsoft les tient pour vulnérables en permanence

Le 10 novembre 2026, pour la première fois, les correctifs de sécurité mensuels de Microsoft Exchange Server ont laissé de côté les versions 2016 et 2019. Ce logiciel de messagerie d’entreprise s’installe sur les serveurs des organisations elles-mêmes. Seule l’édition par abonnement, Exchange Server Subscription Edition (SE), est désormais corrigée. Les PME, associations et collectivités restées sur ces anciennes versions ne sont plus protégées contre les nouvelles failles.

Microsoft ne laisse aucune ambiguïté. Dans son annonce, l’équipe Exchange demande aux utilisateurs de ces deux versions de les considérer comme vulnérables en permanence. Elle les invite à mettre à niveau leur organisation immédiatement. Les clients d’Exchange Online, la version hébergée dans le nuage de Microsoft, sont déjà protégés contre les failles corrigées ce mois-ci, assure l’éditeur.

Neuf failles corrigées dans Exchange Server SE

Le bulletin KB5133453 corrige neuf vulnérabilités dans Exchange SE. Une seule est classée critique par Microsoft : CVE-2026-118207, qui permet une exécution de code à distance. Concrètement, un attaquant peut faire tourner ses propres programmes sur le serveur visé. L’éditeur de logiciels Messageware précise qu’il lui faut pour cela un compte valide, même doté de droits limités. Aucune des neuf failles n’était publiquement connue ni exploitée à la sortie du correctif.

Le plus inquiétant concerne les anciennes versions. Selon Messageware, les failles critiques corrigées ce mois-ci dans Exchange SE sont probablement présentes aussi sur les serveurs 2016 et 2019. Microsoft ne vérifie plus si ces versions sont touchées, puisqu’il a cessé de les tester. Un serveur Exchange 2016 ou 2019 accessible depuis Internet doit désormais être traité comme vulnérable, sans correctif à attendre.

Un sursis prolongé, puis clos

Cette échéance était connue. Le support d’Exchange 2016 et 2019 a pris fin le 14 octobre 2025, rappelle The Register. En juillet 2025, Microsoft avait annoncé un programme de mises à jour de sécurité étendues (Extended Security Updates, ESU). Ce dispositif devait s’achever le 14 avril 2026. L’éditeur a finalement accordé six mois supplémentaires de correctifs payants.

Ce dernier sursis a expiré. Les ultimes correctifs pour Exchange 2016 et 2019 sont sortis le 13 octobre 2026. Le blog spécialisé EightWone confirme que les mises à jour d’octobre étaient les dernières pour les versions antérieures à Exchange SE. Depuis novembre, les correctifs ne visent plus que cette édition.

Exchange Server 2016 et 2019 ne sont plus testés pour détecter des vulnérabilités et aucune mise à jour n’est publiée.

Rester chez Microsoft ou en sortir

Microsoft comptait qu’au 14 avril 2026, ses clients seraient passés à une version plus récente ou en ligne, ironise The Register. Ces deux voies maintiennent la messagerie chez l’éditeur américain : mise à niveau vers Exchange SE d’un côté, hébergement dans son nuage de l’autre. À notre avis, la fin de ces versions offre l’occasion de se demander si l’organisation veut renouveler cette dépendance ou s’en affranchir.

Une alternative libre cible précisément ce besoin. grommunio, dont l’éditeur est installé à Vienne, en Autriche, est conçu comme un remplaçant direct d’Exchange. Il prend en charge MAPI/HTTP, EWS et Exchange ActiveSync, les protocoles de communication du serveur de Microsoft, ce qui doit permettre de conserver les clients Outlook. Cette compatibilité reste une promesse de l’éditeur, à vérifier par un essai avant toute migration. Le moteur, gromox, est publié sous AGPL-3.0, une licence libre pensée pour les logiciels de serveur. Un abonnement commercial ajoute la maintenance à long terme et le support technique.

Pour une TPE ou une PME, premier geste : vérifier la version d’Exchange en service, ou la demander à son prestataire. S’il s’agit de 2016 ou 2019, nous conseillons de couper l’accès direct depuis Internet et de planifier la migration sans tarder. Comme la faille critique exige un compte valide, Messageware recommande aussi d’empêcher les attaquants d’obtenir un identifiant, une protection qui vaut pour les failles suivantes. D’autres solutions libres existent, comme Zimbra, retenu par le CNRS via PARTAGE, ou le serveur Stalwart. Nous pouvons aider à comparer ces options, dans le cadre de notre accompagnement bénévole et gratuit et dans la mesure de nos disponibilités.