Les mises à jour de sécurité d’Exchange Server sont devenues un rendez-vous familier pour les administrateurs. Pourtant, celle de novembre 2026 mérite une attention particulière, moins par les correctifs qu’elle apporte que par ce qu’elle révèle de l’avenir d’Exchange Server. Le 10 novembre 2026, Microsoft a publié une nouvelle Security Update (SU), ou mise à jour de sécurité, pour Exchange Server Subscription Edition (SE). Les vulnérabilités corrigées ont été découvertes par les partenaires de sécurité de Microsoft ou par ses équipes internes.
Derrière cette publication se trouve surtout un message désormais très clair : Exchange Server 2016 et Exchange Server 2019 appartiennent au passé.
Exchange Online est protégé, mais attention aux architectures hybrides
Les clients utilisant Exchange Online sont déjà protégés contre les vulnérabilités corrigées par cette mise à jour. Il n’y a donc aucune intervention à effectuer sur l’infrastructure du service cloud. La situation est différente lorsqu’un serveur Exchange subsiste localement. Dans une architecture hybride, même si toutes les boîtes aux lettres ont migré vers Exchange Online et que le serveur local ne sert plus qu’à l’administration, la Security Update doit être installée.
Il en va de même pour les machines sur lesquelles sont installés les Exchange Management Tools. Microsoft recommande leur mise à jour afin de conserver la compatibilité entre les outils d’administration et les serveurs Exchange.
Autrement dit, un serveur Exchange sans boîte aux lettres n’est pas pour autant un serveur sans risque.
Exchange 2016 et 2019 : l’absence de correctif devient justement le problème
C’est probablement l’information la plus importante de cette annonce. Microsoft indique qu’Exchange Server 2016 et Exchange Server 2019 ne sont désormais plus testés pour rechercher de nouvelles vulnérabilités et qu’aucune nouvelle mise à jour n’est publiée pour ces versions.
Microsoft va même plus loin en demandant aux organisations qui les utilisent encore de les considérer comme« permanently vulnerable », autrement dit durablement vulnérables. L’absence de Security Update pour Exchange 2016 et 2019 ne doit donc surtout pas être interprétée comme une bonne nouvelle. Elle signifie exactement l’inverse : il n’y a plus de prochain correctif à attendre.
La réponse n’est donc plus de continuer à patcher ces serveurs, mais de planifier ou d’accélérer leur migration vers Exchange Server SE.
Une correction également pour les problèmes apparus en octobre
La publication de novembre apporte aussi une réponse aux problèmes d’instabilité apparus sur certains serveurs Exchange après les mises à jour Windows Server d’octobre 2026. Microsoft recommande désormais d’installer les mises à jour Windows Server de novembre 2026. La clé de Registre proposée précédemment comme contournement peut rester présente, mais elle n’est plus nécessaire une fois les mises à jour de novembre installées.
Point pratique : l’ordre d’installation des mises à jour Exchange Server et Windows Server de novembre n’a pas d’importance.
Avant et après la mise à jour : Health Checker
Microsoft recommande d’utiliser l’Exchange Server Health Checker afin de vérifier l’état réel de l’environnement et d’identifier les éventuels retards de Cumulative Update (CU), de Security Update ou les actions manuelles encore nécessaires.
Après installation de la SU, le serveur doit être redémarré et le bon fonctionnement des services Exchange contrôlé. Si certains services restent désactivés, Microsoft considère que cela peut révéler une interruption du processus d’installation et renvoie vers sa procédure de dépannage.
Les Security Updates étant cumulatives, il n’est pas nécessaire d’installer toutes les anciennes SU manquées si le serveur fonctionne sur une version prise en charge. La dernière SU applicable suffit.
Novembre 2026 marque surtout un changement d’époque
Cette publication constitue finalement bien davantage qu’une nouvelle mise à jour de sécurité.Pour Exchange Server SE, la logique reste familière : maintenir, mettre à jour, redémarrer et contrôler. Pour Exchange Server 2016 et 2019, la logique change complètement : migrer ou décommissionner.
Et pour les organisations utilisant Exchange Online en mode hybride, c’est peut-être le bon moment pour se poser une question devenue essentielle :
Avons-nous encore réellement besoin de notre serveur Exchange local ?
Si la réponse est oui, il doit être migré vers Exchange Server SE et maintenu comme un composant sensible de l’infrastructure. Si la réponse est non, le moment est probablement venu de vérifier les dernières dépendances et d’engager proprement son décommissionnement.
Ce qui devient difficilement défendable en 2026, c’est de conserver un Exchange 2016 ou 2019 simplement parce qu’il « ne sert presque plus ».
Conclusion
La Security Update de novembre 2026 matérialise définitivement la nouvelle génération d’Exchange Server. Exchange Server SE continue d’être maintenu et corrigé. Exchange Server 2016 et 2019, eux, ne le sont plus.
L’absence d’un correctif ne signifie pas toujours qu’il n’y a rien à corriger. Elle peut aussi signifier que plus personne ne fabriquera le correctif.
Pour Exchange 2016 et Exchange 2019, nous sommes désormais clairement dans cette seconde situation 😉
Voir sur le meme sujet : https://workingtogether.fun/2026/11/06/supprimer-le-dernier-serveur-exchange-se/