Windows Server 2012 y Exchange 2016/2019, fin de soporte: qué hacer cuando termina el ESU

El martes 13 de octubre de 2026, Microsoft publica las últimas actualizaciones de seguridad de pago (ESU) para Windows Server 2012 y 2012 R2. El ESU es el programa con el que el fabricante sigue corrigiendo productos retirados, y para estas versiones no habrá un cuarto año. Exchange Server 2016 y 2019 recibirán correcciones hasta final de octubre, cuando se cierra su segundo y último periodo ESU, también sin prórroga.

Desde ese momento, cada servidor con esas versiones que siga en producción es un riesgo identificado que alguien de la dirección debe aceptar o rechazar, con una fecha de revisión. NIS2, DORA y el Esquema Nacional de Seguridad (ENS) exigen dejar constancia de esa decisión.

¿Cuándo terminan los parches de Windows Server 2012 y Exchange 2016/2019?

El ESU de Windows Server 2012 y 2012 R2 termina el 13 de octubre de 2026 y el de Exchange 2016 y 2019 a final de octubre de 2026, según la documentación de Microsoft. La tabla recoge los productos de Microsoft que pierden alguna fase de soporte este mes.

La página de Microsoft Learn sobre el ESU de Windows Server fija el 13 de octubre de 2026 como fin del tercer año, tanto para servidores en Azure como fuera de Azure, y añade que, cuando termina el periodo, Microsoft deja de publicar actualizaciones. Las máquinas virtuales de Azure, que recibían el ESU sin coste, quedan sin correcciones el mismo día. BleepingComputer publicó en 2023 los tres tramos anuales, el último del 15 de octubre de 2025 al 13 de octubre de 2026.

Exchange obtuvo en abril un segundo periodo ESU de seis meses, de mayo a octubre de 2026, según ITdaily. Ese periodo exige un contrato nuevo y cubre Exchange 2016 CU23 y Exchange 2019 CU14 y CU15. En julio, el equipo de Exchange anunció en su blog que no habrá otra ampliación y que, cuando termine octubre, Exchange 2016 y 2019 no recibirán más actualizaciones aunque el cliente tenga contratado el segundo periodo.

La última actualización publicada para esas versiones es la del 2 de octubre, una corrección fuera de ciclo (KB5129956) para nueve vulnerabilidades, entre ellas CVE-2026-96940, que permite acceder a buzones ajenos según Help Net Security. Las alternativas con soporte son Exchange Server Subscription Edition (SE) y Exchange Online.

Los certificados que usa Windows Update caducan el 17 de mayo y el 19 de junio de 2027, según el blog de Windows IT Pro. Los equipos sin una actualización reciente perderán el acceso a Windows Update, y para las versiones sin soporte la única indicación de Microsoft es actualizar a una versión con soporte. El cambio no afecta a los equipos que se actualizan a través de WSUS, de modo que el corte se notará sobre todo en los servidores que se conectan directamente a Windows Update.

¿Qué exigen NIS2, DORA y el ENS ante un servidor sin soporte del fabricante?

NIS2, DORA y el ENS no prohíben expresamente un servidor sin soporte. Los tres exigen que el riesgo esté identificado, tratado y aceptado por la dirección.

La Directiva NIS2 incluye en el artículo 21.2.e la seguridad en la adquisición, el desarrollo y el mantenimiento de los sistemas, con la gestión de vulnerabilidades dentro. El artículo 20 establece que los órganos de dirección aprueban esas medidas, supervisan su aplicación y pueden responder por su incumplimiento. Un servidor sin parches deja vulnerabilidades sin corregir, y la dirección debe haber aprobado esa situación.

España aún no ha transpuesto NIS2, y la Comisión Europea llevó el retraso ante el Tribunal de Justicia de la UE en julio, como explicamos en NIS2 sin ley en España. Las obligaciones llegarán con la ley española, pero el criterio de la directiva sirve ya como referencia para auditores y clientes.

DORA define en el punto 3 de su artículo 3 el «sistema de TIC heredado». Es el que ha llegado al final de su ciclo de vida, no admite actualizaciones o correcciones por razones tecnológicas o comerciales o ha perdido el soporte de su proveedor o de un proveedor tercero de servicios TIC. En todos los casos, el sistema sigue en uso y presta apoyo a funciones de la entidad financiera.

El artículo 8.7 obliga a las entidades financieras, salvo las microempresas, a evaluar de forma específica el riesgo de esos sistemas al menos una vez al año, y siempre antes y después de conectarles tecnologías, aplicaciones o sistemas. Un Windows Server 2012 que sostenga una aplicación de negocio en un banco o una aseguradora encaja en esa definición.

El Esquema Nacional de Seguridad regula la cuestión en el artículo 21 y en la medida op.exp.4. El artículo 21.2 establece que la evaluación y la monitorización permanentes adecuarán el estado de seguridad a las vulnerabilidades identificadas y a las actualizaciones que afecten a los sistemas. La medida op.exp.4, de mantenimiento y actualizaciones de seguridad, es la que el auditor revisa con detalle, como explicamos en la página de gestión de vulnerabilidades en el ENS. Sin parches del fabricante, ese control solo se sostiene con medidas compensatorias justificadas y una aceptación formal del riesgo.

¿Es seguro mantener un Windows Server 2012 aislado?

Un Windows Server 2012 aislado puede tener un riesgo residual asumible si alguien ha comprobado que no tiene ruta hacia la red corporativa, no usa cuentas del dominio y cumple una función acotada. Los motivos para mantenerlo suelen ser legítimos. El servidor aloja una aplicación de un proveedor que ha desaparecido, o un sistema de control industrial certificado para esa versión exacta, y la migración exige pruebas, una ventana de parada y un presupuesto que no figuraba en el plan del año.

El equipo de sistemas suele añadir que la máquina está «en una red aparte». Con frecuencia nadie ha verificado esa descripción, y la etiqueta «aislado» procede de un diagrama de red de hace años.

¿Por qué es más arriesgado un Exchange sin parches?

Un Exchange local recibe tráfico de internet por diseño, y muchos quedan sin parchear incluso cuando la corrección existe. En agosto de 2026 Microsoft corrigió CVE-2026-62911, una omisión de autenticación por captura y repetición que permite elevar privilegios. A finales de agosto, los análisis de la fundación Shadowserver contaban casi 22.000 servidores expuestos sin la corrección, 6.200 de ellos en Estados Unidos y 5.100 en Alemania, según Help Net Security.

Help Net Security cita también a la agencia alemana BSI, que estimaba vulnerables alrededor del 85 % de los Exchange locales del país con un método de medición distinto. El centro neerlandés NCSC-NL avisó el 28 de agosto de que circulaba código de explotación público. Microsoft no ha confirmado ataques que lo aprovechen.

Otro fallo de Exchange, la vulnerabilidad CVE-2026-42897 en OWA, se explotó como día cero en mayo, y Microsoft lo corrigió en junio. Un servidor que no recibirá parches quedará expuesto a cada fallo nuevo que afecte a su código. Cuando Microsoft corrija una vulnerabilidad en Exchange SE que comparta código con las versiones retiradas, el parche publicado puede orientar a quien quiera atacar las antiguas.

La agencia estadounidense CISA incluye en su catálogo de malas prácticas el uso de software sin soporte en infraestructuras críticas, que califica de peligroso y especialmente grave en sistemas accesibles desde internet. Un regulador o una aseguradora pueden tener en cuenta esa advertencia al valorar la decisión tras un incidente.

¿Qué hacer con los servidores que no se pueden migrar este trimestre?

Los Windows Server 2012 y Exchange 2016/2019 sin fecha de retirada necesitan inventario, aislamiento verificado y una aceptación de riesgo firmada.

¿Cómo se localizan los servidores sin soporte con Microsoft Defender?

Microsoft Defender for Endpoint permite localizar los Windows Server 2012 R2 con consultas de búsqueda avanzada. Los Windows Server 2012 sin R2 no admiten el agente y deben buscarse en el directorio activo o en el inventario de red. La tabla DeviceTvmSoftwareInventory incluye una columna de fin de soporte. Para contar equipos con software fuera de soporte:

• DeviceTvmSoftwareInventory | where isnotempty(EndOfSupportStatus) | summarize Equipos = dcount(DeviceId) by SoftwareName, SoftwareVersion, EndOfSupportStatus, EndOfSupportDate | order by Equipos desc

Para listar los Windows Server 2012 R2 y ver si el agente los marca como expuestos a internet:

• DeviceInfo | where Timestamp > ago(7d) | summarize arg_max(Timestamp, *) by DeviceId | where OSPlatform == 'WindowsServer2012R2' | project DeviceName, OSPlatform, OSVersion, IsInternetFacing

En Exchange, el script HealthChecker que Microsoft mantiene en su repositorio CSS-Exchange indica la versión y el nivel de actualización de cada servidor. Cada máquina debe tener un responsable de negocio, además del técnico, y la gestión de parches de la empresa debe reflejar cuáles quedan fuera de ella.

¿Cómo se aísla un servidor sin soporte unido al dominio?

Un servidor sin soporte unido al dominio permite a un atacante que lo comprometa avanzar hacia el resto del directorio por movimiento lateral. Estas medidas reducen su exposición:

• Salida a internet cortada o, si publica un servicio, un proxy inverso con autenticación previa.
• Segmento dedicado con reglas de entrada y salida explícitas, según una segmentación de red por función.
• Bloqueo del inicio de sesión de las cuentas de administración del dominio, conforme al modelo de niveles de Active Directory.
• Retirada de las funciones y los servicios sin uso.
• Supervisión más intensa que la del resto del parque.

Si el equipo afirma que la máquina está aislada, una revisión de bastionado o un análisis de la superficie de ataque externa puede confirmarlo o desmentirlo en poco tiempo.

Algunas empresas ofrecen parches no oficiales para sistemas retirados. 0patch, por ejemplo, anunció en septiembre correcciones para Windows Server 2012 y 2012 R2 al menos hasta octubre de 2029. Estos servicios son una medida compensatoria válida si se evalúan con el mismo rigor que un proveedor crítico, porque no proceden de Microsoft y solo corrigen fallos seleccionados.

¿Qué debe incluir la aceptación formal del riesgo?

Cada sistema que siga en producción debe tener una ficha con el motivo, los controles compensatorios y el riesgo residual estimado. La ficha indica también la persona de la dirección que lo acepta y una fecha de revisión a no más de doce meses. En las entidades sujetas a DORA, esa ficha es la base de la evaluación anual del artículo 8.7. En el ENS, es la evidencia que pedirá el auditor al revisar op.exp.4.

¿Cómo se migra Exchange 2019 o 2016 a Exchange SE?

Exchange 2019 con CU14 o CU15 puede actualizarse a Exchange SE en el mismo servidor, con un proceso parecido al de instalar una actualización acumulativa. Desde Exchange 2016 hay que desplegar servidores SE, o Exchange 2019 como paso intermedio, y trasladar los buzones.

Si la organización ya usa Microsoft 365, hay que comprobar si el servidor local sigue haciendo falta o es el resto de una migración híbrida sin terminar. Es una de las primeras comprobaciones de una revisión de seguridad en Microsoft 365.

¿A qué sanciones se expone quien mantiene servidores sin soporte?

El artículo 34 de NIS2 obliga a los Estados a fijar multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial para las entidades esenciales. En ambos casos se aplica la cifra mayor. Para las entidades importantes, el mínimo es de 7 millones o el 1,4 %. Las cuantías aplicables en España dependerán de la ley de transposición, y a ellas se suma la responsabilidad de la dirección del artículo 20.

En el sector financiero, la evaluación anual de DORA es fácil de comprobar en una inspección. En el sector público y sus proveedores, una no conformidad en op.exp.4 puede retrasar o condicionar la certificación ENS.

El coste más probable, de todos modos, es un incidente cuya investigación termine en un servidor que la organización sabía sin soporte. Un programa de gestión de vulnerabilidades que ya tenga esos sistemas inventariados, y una adecuación a NIS2 o a DORA que los recoja en el análisis de riesgos, documentan la decisión antes de que llegue el auditor.

¿Quién debe aprobar la decisión antes del 1 de noviembre?

Antes del 1 de noviembre, el comité de dirección debe aprobar la lista de Windows Server 2012 y Exchange 2016/2019 que seguirán en producción. Para cada servidor debe constar una fecha de retirada o una aceptación de riesgo firmada con sus controles compensatorios, junto con el directivo que la firma.

Este artículo recoge fechas de ciclo de vida, cifras y requisitos normativos publicados por terceros a 13 de octubre de 2026. Las fechas de Microsoft pueden cambiar y deben confirmarse en su página de ciclo de vida.

Las consultas KQL son orientativas, y los nombres de tablas y valores deben validarse en cada entorno antes de usarlas. La referencia a NIS2, DORA y el ENS es divulgativa y no sustituye el análisis jurídico de cada caso.