Gerenciamento do Exchange Server: aplicação de patches, monitoramento e os próximos passos

Hoje, o Exchange Server encontra-se numa situação diferente daquela em que se encontrava há um ano. A Microsoft encerrou o suporte ao Exchange Server 2016 e 2019 em 14 de outubro de 2025, e o período de transição de seis meses com Atualizações de Segurança Estendidas que se seguiu expirou em abril de 2026. As organizações que ainda utilizam qualquer uma dessas versões sem ter migrado para o Exchange Server Subscription Edition (SE) estão agora operando em uma infraestrutura sem suporte, sem atualizações de segurança disponíveis e sem perspectiva de suporte geral.

Para MSPs e equipes de TI que gerenciam ambientes do Exchange, isso muda significativamente o panorama operacional. A questão já não é mais como continuar aplicando patches ao Exchange 2016 ou 2019 indefinidamente. Trata-se de como gerenciar corretamente o Exchange SE enquanto ele estiver em produção e como planejar a transição para o Microsoft 365 Exchange Online nos ambientes em que o Exchange local já não faz mais sentido. A Datto, parte da família Kaseya, vem ajudando MSPs a proteger ambientes Microsoft, locais e na nuvem, há mais de 15 anos, e este guia se baseia nessa profundidade operacional para abordar o que cada etapa realmente exige.

O panorama do Exchange Server em 2026: o que mudou

O Exchange Server 2016 e 2019 chegaram ao fim do suporte em 14 de outubro de 2025. A Microsoft ofereceu um programa ESU único, com duração de seis meses, que abrangia apenas correções de segurança críticas e importantes, sem suporte geral, e que se estendeu até abril de 2026.

A partir de maio de 2026, qualquer organização que ainda utilize o Exchange Server 2016 ou 2019 sem estar inscrita no ESU estará operando com uma infraestrutura de mensagens sem suporte e sem patches. A Microsoft também sinalizou que poderá ser introduzida uma limitação de SMTP para configurações locais desatualizadas do Exchange que se conectem ao Exchange Online, uma medida já aplicada ao Exchange 2013 e versões anteriores. A pressão para migrar é real e está aumentando.

O Exchange Server Subscription Edition (SE) é o produto Exchange local atualmente suportado pela Microsoft, com suporte garantido até, pelo menos, 31 de dezembro de 2035. Ele requer um Software Assurance ativo para receber atualizações e introduz um modelo de assinatura com ciclos de atualização mais frequentes do que as versões anteriores. Para organizações com necessidades reais de instalação local, o SE é a escolha certa. Para aquelas sem essas necessidades, o Microsoft 365 Exchange Online é o caminho estratégico.

Exchange Server SE: o novo modelo de manutenção

O Exchange Server SE altera a forma como as atualizações são distribuídas e aplicadas. A periodicidade trimestral das Atualizações Cumulativas (CU) permanece, mas o SE introduz uma integração mais estreita com o Windows Server e a autenticação do Entra ID, além do uso do Kerberos para autenticação entre servidores, substituindo os mecanismos de autenticação mais antigos. A CU1 para o Exchange Server SE está prevista para o primeiro semestre de 2026.

As regras de sequenciamento de atualizações que regiam o Exchange 2016 e 2019 continuam em vigor: as Atualizações Cumulativas devem estar instaladas antes das Atualizações de Segurança, e algumas Atualizações de Segurança exigem um nível específico de Atualização Cumulativa como pré-requisito. Este não é um ambiente de aplicação de patches do tipo “configure e esqueça”. Cada ciclo de atualização exige a verificação da compatibilidade, a implementação em um ambiente de teste antes da implantação em produção e o agendamento de janelas de manutenção, pois a maioria das atualizações do Exchange Server requer uma reinicialização do serviço que interrompe o fluxo de e-mails.

Em ambientes híbridos do Exchange, nos quais o Exchange local coexiste com o Exchange Online durante a migração ou para uso permanente de identidade híbrida, manter-se na versão atual da CU não é opcional. A Microsoft tem historicamente restringido ou bloqueado a conectividade híbrida a partir de versões desatualizadas do Exchange, e os ambientes SE em modo híbrido precisam estar atualizados para manter a integração.

Gerenciamento de patches para o Exchange Server SE

Uma gestão eficaz de patches do Exchange Server SE segue duas vertentes paralelas.

A primeira vertente abrange a plataforma subjacente do Windows Server: patches do sistema operacional, atualizações de segurança e as tarefas de manutenção aplicáveis a qualquer função do Windows Server. O Datto RMM gerencia essa camada por meio da implantação automatizada de patches com base em políticas, com relatórios de conformidade que mostram o status dos patches em todo o ambiente e janelas de manutenção programadas que evitam que as implantações ocorram durante o horário comercial. Dispositivos fora da rede, incluindo servidores Exchange acessados via VPN ou em locais remotos, são cobertos pelo agente do Datto RMM sem a necessidade de alterações na rede.

A segunda etapa é específica do Exchange e exige um cuidado redobrado. As atualizações cumulativas e as atualizações de segurança do Exchange exigem:

1. Verificação da compatibilidade com a versão atual do Exchange SE antes da implantação

2. Um ambiente de teste que espelha o ambiente de produção, com uma execução de teste antes de qualquer alteração na produção

3. Uma janela de manutenção documentada, com o reinício do serviço programado para um horário de baixo impacto

4. Verificação da consistência do banco de dados após atualizações importantes, verificando se os bancos de dados de caixas de correio foram montados corretamente e se o fluxo de e-mails foi restabelecido adequadamente

5. Procedimento de reversão documentado e testado antes da tentativa de implementação da alteração

IT Glue, plataforma de documentação da Kaseya, é onde se encontra o procedimento operacional padrão para a aplicação de patches no Exchange. Quando documentado nessa plataforma, o processo é seguido de forma consistente, independentemente do técnico responsável por executá-lo. É essa consistência que evita o tipo de falha em que “seguimos os mesmos passos, mas obtivemos um resultado diferente”, que ocorre quando a aplicação de patches no Exchange depende da memória institucional, em vez de um procedimento documentado.

Um cenário real que ilustra o risco: um MSP que gerencia 15 clientes, três dos quais utilizam o Exchange Server SE. Chega a “Patch Tuesday”. O técnico aplica a atualização de segurança no primeiro cliente, seguindo o processo habitual do Windows Server, sem verificar o pré-requisito da CU do Exchange. A atualização é instalada, mas causa um problema no serviço de transporte porque a versão da CU do Exchange estava duas versões atrasada. O diagnóstico leva quatro horas. Com um procedimento documentado e testado que inclui uma verificação do nível da CU como primeira etapa, o problema nunca ocorre.

Monitoramento do Exchange Server: as verificações essenciais

O monitoramento do Exchange Server abrange várias camadas distintas, e a omissão de qualquer uma delas geralmente resulta em um incidente que poderia ter sido detectado mais cedo.

Valores de referência de integridade do servidor. Utilização da CPU, da memória e do disco no próprio servidor Exchange. O Exchange consome muitos recursos, e o aumento do espaço em disco devido aos logs de transação é uma fonte comum de problemas que surgem gradualmente, e não de forma repentina. Os limites de alerta devem ser definidos para notificar antes que a utilização se torne crítica, e não quando já estiver.

Disponibilidade e integridade do banco de dados. Os bancos de dados de caixas de correio devem estar montados e replicando corretamente em configurações de Grupo de Disponibilidade de Banco de Dados (DAG). As tendências de crescimento do tamanho do banco de dados são importantes neste contexto: um banco de dados que cresce de forma anormalmente rápida em comparação com sua linha de base geralmente indica um problema na política de retenção de dados ou uma caixa de correio descontrolada.

Profundidade da fila de e-mails. Uma fila de e-mails que se mantém ou aumenta é um dos indicadores precoces mais evidentes de um problema de entrega. Picos de curta duração são normais. Uma fila que cresce ao longo de horas sem ser resolvida aponta para um problema no serviço de transporte, um problema de conectividade com o servidor de reencaminhamento ou uma falha no certificado que está causando erros de negociação TLS a jusante.

Vencimento de certificados. Esta é a causa evitável mais comum de interrupção do Exchange. Certificados vencidos comprometem a conectividade do Outlook, o acesso ao OWA e o fluxo de e-mails que depende do TLS. O Exchange utiliza vários certificados: o certificado autoassinado padrão, o certificado de transporte atribuído e quaisquer certificados SSL externos para conectividade com clientes, e cada um deles possui seu próprio prazo de validade. O monitoramento automatizado da expiração de certificados no Datto RMM, com alertas 60, 30 e 14 dias antes da expiração, evita totalmente esse tipo de falha. A correção é barata e leva apenas alguns minutos. Quando ocorre sem monitoramento, o incidente geralmente leva horas para ser diagnosticado, pois o sintoma (os clientes não conseguem se conectar) não aponta claramente para um certificado como a causa.

Status do serviço. Os serviços principais do Exchange — Transporte, Caixa de Correio e Acesso do Cliente — devem ser monitorados para detectar interrupções inesperadas. Procedimentos automatizados de reinicialização para falhas de serviço cuja segurança é comprovada reduzem o tempo entre a detecção e a resolução; no entanto, falhas de serviço que se repetem após a reinicialização exigem investigação humana.

Padrões de registros de eventos. Os registros de eventos do Windows nos servidores Exchange fornecem sinais de alerta antecipados sobre problemas no banco de dados, falhas de autenticação e problemas de replicação em ambientes DAG. Monitorar IDs de eventos específicos do Exchange, em vez de tentar monitorar todos os eventos, mantém o volume de alertas sob controle, ao mesmo tempo em que permite detectar os sinais que realmente importam.

Migração para o Microsoft 365: planejando a transição

Para a maioria das organizações que utilizam o Exchange Server no local, a migração para o Exchange Online é a direção estratégica a seguir. Os recursos do Microsoft 365 alcançaram o mesmo nível do Exchange no local para a maioria dos casos de uso, e os custos operacionais associados à manutenção e à aplicação de atualizações do Exchange Server no local raramente geram um valor comercial proporcional em comparação com um serviço gerenciado na nuvem.

Os componentes do planejamento de migração que normalmente determinam o cronograma e a complexidade:

Sincronização de diretórios. O Azure Active Directory Connect (agora Microsoft Entra Connect) gerencia a sincronização de identidades entre o Active Directory local e o Entra ID. Em implantações híbridas, isso geralmente já está configurado. Para organizações que estão começando do zero, a configuração do Entra Connect é o primeiro passo do qual tudo o mais depende.

Coexistência de e-mails. Durante a migração, algumas caixas de correio estarão no ambiente local e outras no Exchange Online simultaneamente. O roteamento de e-mails entre os dois ambientes precisa funcionar sem problemas, o que exige que a configuração híbrida e os conectores sejam configurados corretamente antes que as caixas de correio comecem a ser transferidas.

Pastas públicas. As organizações com estruturas de pastas públicas legadas enfrentam a parte mais complexa da maioria das migrações do Exchange. As pastas públicas modernas, introduzidas no Exchange 2013, são migradas de forma mais simples do que as pastas públicas legadas, mas, de qualquer forma, esse componente requer seu próprio ciclo de inventário, planejamento e testes.

Desativação da infraestrutura local. O Exchange Server não pode ser simplesmente desinstalado após a conclusão da migração. A infraestrutura local do Exchange precisa ser devidamente desativada por meio de uma sequência documentada que remova as funções do Exchange na ordem correta, limpe os atributos do Active Directory e confirme que nenhum serviço ou aplicativo remanescente dependa dos pontos finais do Exchange local antes de serem desativados.

Considerações sobre licenciamento e conformidade. Organizações em setores regulamentados, especialmente na área da saúde e de serviços financeiros, podem ter requisitos de residência ou retenção de dados que afetam a configuração do Microsoft 365 e aumentam o tempo necessário para o planejamento da migração. Esses requisitos devem ser identificados antes do início da migração, e não descobertos durante o processo.

Protegendo o Exchange Online após a migração

Uma suposição comum ao migrar para o Microsoft 365 é que a responsabilidade da Microsoft pela plataforma significa que os dados estão protegidos. Mas não é assim, pelo menos não da forma como as organizações normalmente entendem quando falam em backup.

A Microsoft garante a disponibilidade dos serviços e a resiliência da infraestrutura, mas não oferece backup de longo prazo dos dados das caixas de correio com recuperação granular em um momento específico. Se os dados forem excluídos — seja acidentalmente, de forma maliciosa ou por meio de um ataque de ransomware direcionado a ambientes em nuvem —, as ferramentas nativas de retenção da Microsoft podem não ser suficientes para recuperá-los, dependendo da configuração da política de retenção e do momento em que a exclusão ocorreu.

SaaS Protection Datto SaaS Protection o Exchange Online, além do SharePoint, OneDrive, Teams e o restante do pacote de aplicativos do Microsoft 365. Ele oferece três backups diários com recuperação em um ponto específico no tempo, permitindo que os MSPs e as equipes de TI restaurem e-mails individuais, itens da agenda ou caixas de correio completas a partir de qualquer ponto de backup, independentemente dos controles de retenção nativos da Microsoft.

O novo fluxo de trabalho unificado de recuperação, anunciado na Kaseya Connect 2026, amplia ainda mais essa capacidade ao combinar a restauração do Microsoft 365 Exchange e a recuperação de objetos do Entra ID em um único fluxo de trabalho operacional, reduzindo o tempo de restauração em incidentes relacionados à identidade.

Conheça SaaS Protection Datto SaaS Protection o Microsoft 365.

O papel operacional da documentação e da automação

A gestão do Exchange Server em grande escala, seja em vários ambientes de clientes para um MSP ou em uma complexa infraestrutura interna de TI, deixa a desejar quando depende do conhecimento individual dos técnicos, em vez de processos documentados e automatizados.

Três áreas em que a documentação previne diretamente a ocorrência de incidentes:

O procedimento de sequenciamento de patches. Documentado no IT Glue a verificação de pré-requisitos da CU como primeira etapa, o teste de preparação como um ponto de verificação obrigatório e a programação da janela de manutenção como um campo confirmado antes do início da implantação. Quando esse procedimento existe e é seguido, os incidentes relacionados à aplicação de patches no Exchange causados pela omissão de um pré-requisito deixam de ocorrer.

O inventário de certificados. Todos os certificados do Exchange em todos os ambientes gerenciados, com datas de validade, fontes de renovação e o serviço atribuído a cada um, documentados no IT Glue. Combinado com o monitoramento automatizado de validade no Datto RMM, isso elimina as interrupções relacionadas a certificados da lista de imprevistos.

Lista de verificação para o descomissionamento da migração. Um procedimento passo a passo para remover adequadamente a infraestrutura local do Exchange, documentado e testado. Projetos de migração executados de forma adequada e seguidos de um descomissionamento correto evitam a situação em que “fizemos a migração, mas ainda temos um servidor Exchange em funcionamento”, o que gera obrigações contínuas de atualização e monitoramento sem justificativa comercial.

Kaseya Intelligence, treinado com mais de 1 bilhão de tickets de help desk, 3 exabytes de dados de backup e 17 milhões de terminais gerenciados, adiciona uma camada autônoma a esses processos, passando da simples sugestão de correções para a execução e validação dos resultados sem intervenção manual. Para ambientes do Exchange Server, isso significa que vulnerabilidades sem correção e verificações de backup não realizadas são detectadas e resolvidas antes que se transformem em incidentes. Explore Kaseya Intelligence.