Microsoft Exchange Server 2016 và 2019: 'Vĩnh viễn dễ bị tấn công'
"Microsoft has declared Exchange Server 2016 and 2019 'permanently vulnerable' as of November 2026, ceasing security updates for these versions. Support ended in October 2025 with a brief ESU extension, but no further patches will be released. The November 2026 update for Subscription Edition (SE) addressed nine vulnerabilities, including a critical remote code execution flaw (CVE-2026-118207)."
Việc ngừng hỗ trợ Exchange Server 2016 và 2019 tạo ra rủi ro cao về lỗ hổng bảo mật và tấn công mạng. Các hệ thống dễ bị tấn công có thể dẫn đến mất dữ liệu và gián đoạn hoạt động.
Các doanh nghiệp sử dụng Exchange Server 2016/2019 cần đầu tư vào nâng cấp hệ thống hoặc di chuyển lên cloud. Chi phí này có thể đáng kể, nhưng thấp hơn so với chi phí khắc phục hậu quả của một cuộc tấn công.
Microsoft cảnh báo khách hàng vẫn dùng Exchange Server 2016 và 2019 coi phần mềm này là "vĩnh viễn dễ bị tấn công" kể từ bản vá bảo mật tháng 11 chỉ dành cho Subscription Edition (SE).
Microsoft đã kết thúc hỗ trợ cho Exchange Server 2016 và 2019 vào 14/10/2025, sau đó có chương trình Cập nhật Bảo mật Mở rộng (ESU). Ban đầu, chương trình này kết thúc vào 14/4/2026. Tuy nhiên, Microsoft đã gia hạn thêm sáu tháng cập nhật bảo mật trả phí vì một số khách hàng vẫn chưa nâng cấp. Bản cập nhật tháng 11 cho SE khắc phục chín lỗ hổng, bao gồm một lỗ hổng thực thi mã từ xa nghiêm trọng (CVE-2026-118207). Microsoft không kiểm tra các phiên bản Exchange cũ hơn để tìm các lỗ hổng này.
Theo Security Update Guide của Microsoft, bản cập nhật tháng 11 đã khắc phục chín lỗ hổng trong Exchange Server SE, bao gồm một lỗ hổng thực thi mã từ xa nghiêm trọng (CVE-2026-118207). Microsoft không kiểm tra các phiên bản Exchange cũ hơn để tìm các lỗ hổng này. https://www.theregister.com/2026/11/12/microsoft_exchange_server_end_of_life/
Điều này có nghĩa là các hệ thống Exchange Server 2016 và 2019 hiện không còn nhận được bản vá bảo mật. Các doanh nghiệp Việt Nam đang sử dụng các phiên bản này cần lên kế hoạch nâng cấp hoặc di chuyển sang các phiên bản mới hơn ngay lập tức.
Câu hỏi thường gặp
Exchange Server 2016 và 2019 có còn nhận được bản vá bảo mật không?
Không. Microsoft đã ngừng phát hành bản vá bảo mật cho Exchange Server 2016 và 2019 vào tháng 11 năm 2026. Các phiên bản này được coi là 'vĩnh viễn dễ bị tấn công'.
Chương trình ESU cho Exchange Server 2016 và 2019 kéo dài đến khi nào?
Chương trình ESU ban đầu dự kiến kết thúc vào tháng 4 năm 2026, nhưng đã được gia hạn đến tháng 11 năm 2026. Tuy nhiên, Microsoft không gia hạn thêm nữa.
CVE-2026-118207 là gì?
CVE-2026-118207 là một lỗ hổng thực thi mã từ xa nghiêm trọng được khắc phục trong bản cập nhật tháng 11 cho Exchange Server SE. Microsoft không kiểm tra các phiên bản cũ hơn để tìm lỗ hổng này.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Microsoft ngừng hỗ trợ Exchange Server 2016 và 2019 tạo ra rủi ro đáng kể cho các doanh nghiệp Việt Nam. Các cuộc tấn công khai thác các lỗ hổng đã biết có thể xảy ra bất cứ lúc nào. Các doanh nghiệp nên ưu tiên đánh giá và lên kế hoạch di chuyển lên Exchange Server 2019 trở lên, hoặc cân nhắc các giải pháp email khác như Microsoft 365. Điều đáng chú ý là việc trì hoãn nâng cấp sẽ làm tăng nguy cơ bị tấn công và mất dữ liệu.