Gerenciamento do Exchange Server: aplicação de patches, monitoramento e os próximos passos

Hoje, o Exchange Server encontra-se em uma situação diferente daquela de um ano atrás. A Microsoft encerrou o suporte ao Exchange Server 2016 e 2019 em 14 de outubro de 2025, e o período de transição de seis meses com Atualizações de Segurança Estendidas, que se seguiu, expirou em abril de 2026. As organizações que ainda utilizam qualquer uma dessas versões sem ter migrado para o Exchange Server Subscription Edition (SE) estão agora operando em uma infraestrutura sem suporte, sem atualizações de segurança disponíveis e sem perspectiva de retorno ao suporte geral.

Para os MSPs e equipes de TI que gerenciam ambientes do Exchange, isso muda significativamente o panorama operacional. A questão não é mais como continuar aplicando patches no Exchange 2016 ou 2019 indefinidamente. Trata-se de como gerenciar corretamente o Exchange SE enquanto ele estiver em produção e como planejar a transição para o Microsoft 365 Exchange Online nos ambientes em que o Exchange local não faz mais sentido. A Datto, parte da família Kaseya, vem ajudando MSPs a proteger ambientes Microsoft, tanto locais quanto na nuvem, há mais de 15 anos, e este guia se baseia nessa experiência operacional para abordar o que cada etapa realmente exige.

Aplique patches e monitore o Exchange Server com o Datto RMM.

O Datto RMM automatiza o gerenciamento de patches para o Windows Server e aplicativos de terceiros, além das atualizações no nível do sistema operacional, com relatórios de conformidade e suporte a dispositivos fora da rede.

Conheça o Datto RMM

O cenário do Exchange Server em 2026: o que mudou

O Exchange Server 2016 e 2019 chegaram ao fim do suporte em 14 de outubro de 2025. A Microsoft ofereceu um programa ESU único, com duração de seis meses, que abrangia apenas correções de segurança críticas e importantes, sem suporte geral, e que se estendeu até abril de 2026.

A partir de maio de 2026, qualquer organização que ainda estiver utilizando o Exchange Server 2016 ou 2019 sem estar inscrita no ESU estará operando com uma infraestrutura de mensagens sem suporte e sem patches. A Microsoft também sinalizou que poderá ser introduzida uma limitação de SMTP para configurações desatualizadas do Exchange local que se conectem ao Exchange Online, uma medida já aplicada ao Exchange 2013 e versões anteriores. A pressão para migrar é real e está aumentando.

O Exchange Server Subscription Edition (SE) é o produto Exchange local atualmente suportado pela Microsoft, com suporte confirmado até, pelo menos, 31 de dezembro de 2035. Ele requer um Software Assurance ativo para receber atualizações e introduz um modelo de assinatura com ciclos de atualização mais frequentes do que as versões anteriores. Para organizações com requisitos genuínos de instalação local, o SE é a opção correta. Para aquelas sem esses requisitos, o Microsoft 365 Exchange Online é o caminho estratégico.

Exchange Server SE: o novo modelo de manutenção

O Exchange Server SE altera a forma como as atualizações são distribuídas e aplicadas. A periodicidade trimestral das Atualizações Cumulativas (CU) permanece, mas a versão SE introduz uma integração mais estreita com o Windows Server e a autenticação do Entra ID, além do uso do Kerberos para autenticação entre servidores, substituindo os mecanismos de autenticação mais antigos. A CU1 para o Exchange Server SE está prevista para o primeiro semestre de 2026.

As regras de sequenciamento de atualizações que regiam o Exchange 2016 e 2019 ainda se aplicam: as Atualizações Cumulativas devem estar instaladas antes das Atualizações de Segurança, e algumas Atualizações de Segurança exigem um nível específico de Atualização Cumulativa como pré-requisito. Este não é um ambiente de aplicação de patches do tipo “configure e esqueça”. Cada ciclo de atualização exige a verificação da compatibilidade, a implementação em um ambiente de teste antes da implantação em produção e o agendamento de janelas de manutenção, pois a maioria das atualizações do Exchange Server exige uma reinicialização do serviço que interrompe o fluxo de e-mails.

Para ambientes híbridos do Exchange, nos quais o Exchange local coexiste com o Exchange Online durante a migração ou para uso permanente de identidade híbrida, manter-se na CU atual não é opcional. A Microsoft tem, historicamente, restringido ou bloqueado a conectividade híbrida a partir de versões desatualizadas do Exchange, e os ambientes SE em modo híbrido precisam estar atualizados para manter a integração.

Gerenciamento de patches para o Exchange Server SE

O gerenciamento eficaz de patches do Exchange Server SE ocorre em duas vertentes paralelas.

A primeira vertente abrange a plataforma subjacente do Windows Server: patches do sistema operacional, atualizações de segurança e as tarefas de manutenção aplicáveis a qualquer função do Windows Server. O Datto RMM gerencia essa camada por meio da implantação automatizada de patches com base em políticas, com relatórios de conformidade que mostram o status dos patches em todo o ambiente e janelas de manutenção programadas que evitam que as implantações ocorram durante o horário comercial. Dispositivos fora da rede, incluindo servidores Exchange acessados por VPN ou em locais remotos, são cobertos pelo agente do Datto RMM sem a necessidade de alterações na rede.

A segunda etapa é específica do Exchange e exige um cuidado redobrado. As atualizações cumulativas e as atualizações de segurança do Exchange exigem:

1. Verificação de compatibilidade com a versão atual do Exchange SE antes da implantação

2. Um ambiente de teste que espelha o ambiente de produção, com uma execução de teste antes de qualquer alteração na produção

3. Uma janela de manutenção documentada, com a reinicialização do serviço programada para um horário de baixo impacto

4. Verificação da consistência do banco de dados após atualizações importantes, verificando se os bancos de dados de caixas de correio foram montados corretamente e se o fluxo de e-mails foi restabelecido adequadamente

5. O procedimento de reversão foi documentado e testado antes da tentativa de implementação da alteração

IT Glue, a plataforma de documentação da Kaseya, é onde se encontra o procedimento operacional padrão para a aplicação de patches no Exchange. Quando documentado nessa plataforma, o processo é seguido de forma consistente, independentemente do técnico responsável por executá-lo. Essa consistência é o que evita o tipo de falha em que “seguimos as mesmas etapas, mas obtivemos um resultado diferente”, que ocorre quando a aplicação de patches no Exchange depende da memória institucional, em vez de um procedimento documentado.

Um cenário real que ilustra o risco: um MSP que gerencia 15 clientes, três dos quais utilizam o Exchange Server SE. Chega a “Patch Tuesday”. O técnico aplica a atualização de segurança no cliente 1, seguindo o processo habitual do Windows Server, sem verificar o pré-requisito da CU do Exchange. A atualização é instalada, mas causa um problema no serviço de transporte, pois o nível da CU do Exchange estava duas versões atrasado. O diagnóstico desse problema leva quatro horas. Com um procedimento documentado e testado que inclua a verificação do nível da CU como primeira etapa, o problema nunca ocorre.

Monitoramento do Exchange Server: as verificações essenciais

O monitoramento do Exchange Server abrange várias camadas distintas, e a omissão de qualquer uma delas geralmente resulta em um incidente que poderia ter sido detectado mais cedo.

Valores de referência de integridade do servidor. Utilização da CPU, da memória e do disco no próprio servidor Exchange. O Exchange consome muitos recursos, e o aumento do espaço ocupado no disco pelos logs de transação é uma fonte comum de problemas que surgem gradualmente, e não de forma repentina. Os limites de alerta devem ser definidos para que as notificações sejam enviadas antes que a utilização se torne crítica, e não quando isso já tiver ocorrido.

Disponibilidade e integridade do banco de dados. Os bancos de dados de caixas de correio devem estar montados e replicando corretamente em configurações de Grupo de Disponibilidade de Banco de Dados (DAG). As tendências de crescimento do tamanho do banco de dados são importantes nesse contexto: um banco de dados que cresce de forma anormalmente rápida em comparação com sua linha de base geralmente indica um problema na política de retenção de dados ou uma caixa de correio fora de controle.

Profundidade da fila de e-mails. Uma fila de e-mails que permanece estável ou cresce é um dos indicadores precoces mais evidentes de um problema de entrega. Picos de curta duração são normais. Uma fila que cresce ao longo de horas sem ser resolvida aponta para um problema no serviço de transporte, um problema de conectividade com o smart host ou uma falha no certificado que está causando erros de negociação TLS a jusante.

Vencimento de certificados. Essa é a causa evitável mais comum de interrupção do Exchange. Certificados vencidos interrompem a conectividade do Outlook, o acesso ao OWA e o fluxo de e-mails que depende do TLS. O Exchange utiliza vários certificados: o certificado autoassinado padrão, o certificado de transporte atribuído e quaisquer certificados SSL externos para conectividade com clientes, e cada um tem seu próprio prazo de validade. O monitoramento automatizado da validade dos certificados no Datto RMM, com alertas 60, 30 e 14 dias antes do vencimento, evita totalmente esse tipo de falha. A correção é barata e leva apenas alguns minutos. Quando ocorre sem monitoramento, o incidente geralmente leva horas para ser diagnosticado, pois o sintoma (os clientes não conseguem se conectar) não aponta claramente para um certificado como a causa.

Status do serviço. Os serviços principais do Exchange — Transporte, Caixa de Correio e Acesso do Cliente — devem ser monitorados quanto a interrupções inesperadas. Procedimentos automatizados de reinicialização para falhas de serviço cuja segurança é comprovada reduzem o intervalo entre a detecção e a resolução; no entanto, falhas de serviço que se repetem após a reinicialização exigem investigação humana.

Padrões de logs de eventos. Os logs de eventos do Windows nos servidores Exchange contêm sinais de alerta antecipado sobre problemas no banco de dados, falhas de autenticação e problemas de replicação em ambientes DAG. Monitorar IDs de eventos específicos do Exchange, em vez de tentar monitorar todos os eventos, mantém o volume de alertas sob controle, ao mesmo tempo em que permite identificar os sinais que realmente importam.

Migração para o Microsoft 365: planejando a transição

Para a maioria das organizações que executam o Exchange Server no local, a migração para o Exchange Online é a direção estratégica a ser seguida. Os recursos do Microsoft 365 alcançaram o mesmo nível do Exchange no local para a maioria dos casos de uso, e a sobrecarga operacional decorrente da execução e da aplicação de patches no Exchange Server no local raramente gera um valor comercial proporcional em comparação com um serviço gerenciado na nuvem.

Os componentes do planejamento de migração que normalmente determinam o cronograma e a complexidade:

Sincronização de diretório. O Azure Active Directory Connect (agora Microsoft Entra Connect) gerencia a sincronização de identidades entre o Active Directory local e o Entra ID. Em implantações híbridas, isso geralmente já está em funcionamento. Para organizações que estão começando do zero, a configuração do Entra Connect é o primeiro passo do qual tudo o mais depende.

Coexistência de e-mails. Durante a migração, algumas caixas de correio estarão no ambiente local e outras no Exchange Online simultaneamente. O roteamento de e-mails entre os dois ambientes precisa funcionar sem problemas, o que exige que a configuração híbrida e os conectores sejam configurados corretamente antes que as caixas de correio comecem a ser transferidas.

Pastas públicas. As organizações com estruturas legadas de pastas públicas enfrentam a parte mais complexa da maioria das migrações do Exchange. As pastas públicas modernas, introduzidas no Exchange 2013, são migradas de forma mais simples do que as pastas públicas legadas, mas, de qualquer forma, esse componente requer seu próprio ciclo de inventário, planejamento e testes.

Desativação da infraestrutura local. O Exchange Server não pode ser simplesmente desinstalado quando a migração estiver concluída. A infraestrutura local do Exchange precisa ser devidamente desativada por meio de uma sequência documentada que remova as funções do Exchange na ordem correta, limpe os atributos do Active Directory e confirme que nenhum serviço ou aplicativo remanescente dependa dos pontos finais do Exchange local antes que eles sejam desativados.

Considerações sobre licenciamento e conformidade. Organizações em setores regulamentados, especialmente na área da saúde e de serviços financeiros, podem ter requisitos de residência ou retenção de dados que afetam a configuração do Microsoft 365 e aumentam o tempo necessário para o planejamento da migração. Esses requisitos devem ser identificados antes do início da migração, e não descobertos durante o processo.

Protegendo o Exchange Online após a migração

Uma suposição comum ao migrar para o Microsoft 365 é que a responsabilidade da Microsoft pela plataforma significa que os dados estão protegidos. Mas não é assim, pelo menos não da maneira que as organizações geralmente entendem quando falam em backup.

A Microsoft garante a disponibilidade dos serviços e a resiliência da infraestrutura, mas não oferece backup de longo prazo dos dados das caixas de correio com recuperação granular em um momento específico. Se os dados forem excluídos — seja acidentalmente, de forma maliciosa ou por meio de um ataque de ransomware direcionado a ambientes em nuvem —, as ferramentas nativas de retenção da Microsoft podem não ser suficientes para recuperá-los, dependendo da configuração da política de retenção e do momento em que a exclusão ocorreu.

O Datto SaaS Protection abrange o Exchange Online, além do SharePoint, do OneDrive, do Teams e do restante do pacote de aplicativos do Microsoft 365. Ele oferece três backups diários com recuperação em um ponto específico no tempo, proporcionando aos MSPs e às equipes de TI a capacidade de restaurar e-mails individuais, itens de calendário ou caixas de correio completas para qualquer ponto de backup, independentemente dos controles de retenção nativos da Microsoft.

O novo fluxo de trabalho unificado de recuperação, anunciado no Kaseya Connect 2026, amplia ainda mais essa capacidade ao combinar a restauração do Microsoft 365 Exchange e a recuperação de objetos do Entra ID em um único fluxo de trabalho operacional, reduzindo o tempo de restauração em incidentes relacionados à identidade.

Conheça o Datto SaaS Protection para o Microsoft 365.

O papel operacional da documentação e da automação

O gerenciamento do Exchange Server em grande escala — seja em vários ambientes de clientes para um MSP, seja em uma infraestrutura interna de TI complexa — deixa a desejar quando depende do conhecimento de técnicos individuais, em vez de processos documentados e automatizados.

Três áreas em que a documentação evita diretamente a ocorrência de incidentes:

O procedimento de sequenciamento de patches. Documentado em IT Glue , tendo a verificação de pré-requisitos do CU como primeira etapa, o teste de preparação como um passo obrigatório e a programação da janela de manutenção como um campo confirmado antes do início da implantação. Quando esse procedimento existe e é seguido, os incidentes relacionados à aplicação de patches no Exchange causados pela omissão de um pré-requisito deixam de ocorrer.

O inventário de certificados. Todos os certificados do Exchange em todos os ambientes gerenciados, com datas de validade, fontes de renovação e o serviço atribuído a cada um, documentados em IT Glue. Combinado com o monitoramento automatizado de validade no Datto RMM, isso elimina as interrupções relacionadas a certificados da lista de imprevistos.

A lista de verificação para o descomissionamento da migração. Um procedimento passo a passo para remover adequadamente a infraestrutura local do Exchange, documentado e testado. Projetos de migração executados de forma correta e seguidos de um descomissionamento adequado evitam a situação do tipo “fizemos a migração, mas ainda temos um servidor Exchange em funcionamento em algum canto”, que gera obrigações contínuas de aplicação de patches e monitoramento sem justificativa comercial.

Kaseya Intelligence, treinado com mais de 1 bilhão de tickets de suporte técnico, 3 exabytes de dados de backup e 17 milhões de terminais gerenciados, adiciona uma camada autônoma a esses processos, passando da simples sugestão de patches para a execução e validação dos resultados sem intervenção manual. Para ambientes do Exchange Server, isso significa que vulnerabilidades sem patch e verificações de backup não realizadas são detectadas e resolvidas antes que se transformem em incidentes. Explore Kaseya Intelligence.

Pontos principais

• O Exchange Server 2016 e 2019 não têm mais suporte, e a ponte ESU expirou em abril de 2026. As organizações que ainda utilizam qualquer uma dessas versões precisam migrar para o Exchange Server SE ou para o Microsoft 365 Exchange Online agora.
• O Exchange Server SE exige a mesma sequência cuidadosa de aplicação de patches que as versões anteriores: pré-requisitos da CU, testes no ambiente de teste, janelas de manutenção para reinicializações do serviço e verificação do banco de dados após a atualização.
• O vencimento do certificado é a falha mais comum e evitável do Exchange. O monitoramento automatizado com alertas antecipados evita isso completamente.
• A migração para o Microsoft 365 exige um planejamento que abranja a sincronização de diretórios, a coexistência de e-mails, as pastas públicas e o descomissionamento. Para setores regulamentados, os requisitos de conformidade ampliam o escopo de cada um desses aspectos.
• O Exchange Online não possui backup nativo. O Datto SaaS Protection oferece a capacidade de recuperação em um momento específico que as ferramentas nativas da Microsoft não oferecem.