Microsoft avverte: Exchange 2016 e 2019 sono ormai permanentemente vulnerabili

Microsoft ha annunciato la disponibilità dei nuovi aggiornamenti di sicurezza per Exchange Server, con l’obiettivo di correggere vulnerabilità individuate attraverso le segnalazioni dei partner e le attività interne di analisi.

La pubblicazione interessa in particolare gli ambienti aziendali che gestiscono la posta elettronica attraverso infrastrutture installate localmente. L’intervento assume un significato importante per gli amministratori IT, chiamati a verificare lo stato dei propri sistemi e a pianificare le attività di manutenzione.

La comunicazione del team Exchange chiarisce anche quali installazioni possono ricevere le correzioni e quali ambienti, invece, richiedono una strategia diversa per evitare di rimanere esposti a problemi di sicurezza.

Exchange Server, quali sistemi ricevono gli aggiornamenti

Il pacchetto distribuito da Microsoft riguarda Exchange Server Subscription Edition (SE), con disponibilità per la versione RTM. Le correzioni intervengono su vulnerabilità comunicate responsabilmente all’azienda da soggetti esterni e individuate durante le verifiche condotte dai suoi specialisti. Per conoscere i dettagli tecnici delle falle, compresi i relativi identificativi CVE, Microsoft rimanda al Security Update Guide, dove è possibile filtrare i risultati selezionando la famiglia dei prodotti server e il componente Exchange SE.

Un passaggio particolarmente importante riguarda le installazioni meno recenti. Exchange Server 2016 e 2019 non ricevono più aggiornamenti di sicurezza attraverso il normale ciclo di manutenzione. Microsoft precisa che queste edizioni non vengono più sottoposte a verifiche sulle vulnerabilità e invita le organizzazioni che le utilizzano a pianificare una migrazione. La fine del supporto, quindi, non rappresenta soltanto una questione amministrativa: rende più difficile gestire nuove minacce senza poter contare su correzioni ufficiali.

Diversa è la situazione per chi utilizza Exchange Online. Gli ambienti cloud risultano già protetti dalle vulnerabilità affrontate attraverso questa distribuzione e non richiedono interventi specifici sul servizio. Le organizzazioni ibride, tuttavia, devono prestare attenzione alle proprie infrastrutture locali, anche quando vengono mantenute soltanto per attività di gestione.

Installazione delle patch e controlli dopo l’intervento

Prima di procedere, Microsoft suggerisce di eseguire un inventario delle installazioni presenti nell’organizzazione. Lo strumento Exchange Server Health Checker permette di individuare eventuali aggiornamenti mancanti e verificare lo stato delle installazioni rispetto ai requisiti di manutenzione. Questa attività aiuta a evitare interventi basati su informazioni incomplete e consente di individuare eventuali discrepanze tra i server.

Un aspetto utile riguarda la natura cumulativa degli aggiornamenti di sicurezza. Se l’installazione utilizza una Cumulative Update supportata, non è necessario recuperare ogni pacchetto intermedio: è sufficiente applicare quello più recente compatibile con il sistema. Al termine della procedura, Microsoft raccomanda di riavviare il server e controllare che tutti i servizi Exchange risultino avviati correttamente.

Qualora emergano errori durante l’installazione o nelle operazioni successive, il team suggerisce di utilizzare SetupAssist e consultare la documentazione dedicata al ripristino delle installazioni non riuscite. Negli ambienti ibridi, inoltre, un’eventuale modifica del certificato di autenticazione dopo l’applicazione delle patch richiede una nuova esecuzione della procedura guidata Hybrid Configuration Wizard.

La distribuzione conferma quanto sia importante considerare la manutenzione della posta aziendale come parte integrante della governance informatica. Un’infrastruttura affidabile non dipende soltanto dalla disponibilità dei servizi, ma anche dalla capacità dell’organizzazione di mantenere sotto controllo il proprio ciclo tecnologico.