Exchange Online, Eski Exchange 2016 ve 2019 Sunucularından Gelen E-Postaları Engelleyebilir
Microsoft, Exchange Online’a e-posta gönderen eski Exchange Server 2016 ve 2019 sistemleri için güvenlik gereksinimlerini sıkılaştırıyor. Eylül 2026’nın ikinci haftasından itibaren Exchange Online, belirli bir bağlantı türünü kullanan şirket içi Exchange sunucularından gelen iletiler için en az Ekim 2025 güncelleme seviyesini şart koşacak. Gerekli yamaları almamış sistemlerden gönderilen e-postalar önce yavaşlatılabilecek, yeni uygulamayla birlikte engellenebilecek veya reddedilebilecek.
Exchange Online İçin Minimum Yama Seviyesi Belirlendi
Microsoft, Exchange Online ile şirket içi Exchange sunucuları arasındaki e-posta trafiğinde izin verilen minimum güvenlik seviyesini Ekim 2025 güncellemeleri olarak belirledi. Bu değişiklik, Exchange Server 2016 veya Exchange Server 2019 kullanan ve Exchange Online’a “OnPremises” türündeki inbound connector üzerinden bağlanan kuruluşları doğrudan ilgilendiriyor.
Microsoft’un belirlediği seviyenin altında kalan Exchange sunucuları, yeni uygulama başladıktan sonra Exchange Online’a ileti teslim ederken kısıtlamayla karşılaşabilecek. Güvenlik gereksinimini karşılamayan sunuculardan gelen e-postaların reddedilmesi de söz konusu olacak. Yöneticilerin bu nedenle yalnızca Exchange Server sürümünü kontrol etmesi yeterli olmayacak. Sunucuların hangi güncelleme seviyesinde bulunduğunun da doğrulanması gerekecek.
Exchange Online üzerindeki sıkılaştırma politikası yeni başlamıyor. Microsoft, 2023 yılında destek süresi sona ermiş veya güncel güvenlik yamalarını almamış şirket içi Exchange sistemlerinden gönderilen e-postaların teslimatını geciktirmeye yönelik uygulamaları devreye aldı.
Yeni adım, Microsoft’un güvenlik politikası kapsamında kademeli olarak artırdığı yaptırımların devamını oluşturuyor. Şirket, güvenlik açıkları bulunan ve uzun süredir güncellenmeyen Exchange sunucularının Exchange Online üzerinden e-posta göndermesini daha zor hale getirerek saldırıya açık altyapıların kurumsal iletişim zincirinde kullanılmasını engellemeyi amaçlıyor.
Bu nedenle Exchange Server 2016 ve Exchange Server 2019 kullanan kurumlar için yama yönetimi artık yalnızca güvenlik açısından değil, e-posta teslimatının sürekliliği açısından da önem taşıyor.
Hangi Exchange Sunucuları Engellemeden Etkilenecek?
Yeni politika, Exchange Online’a “OnPremises” türündeki inbound connector üzerinden bağlanan şirket içi Exchange sunucularına uygulanacak. Farklı bağlantı yöntemleri veya başka connector türleri üzerinden Exchange Online’a ileti gönderen sistemler mevcut uygulamanın kapsamına girmiyor.
Microsoft, bu istisnanın gelecekte değişebileceğini de belirtiyor. Dolayısıyla bugün kapsam dışında kalan bağlantı yöntemlerinin ilerleyen dönemde aynı güvenlik kontrollerine tabi tutulması ihtimali bulunuyor.
Kuruluşların kullandığı connector yapılandırmasını kontrol etmesi bu nedenle kritik hale geliyor. Exchange Online’a giden e-posta trafiğinin hangi bağlantı üzerinden gerçekleştiğinin bilinmemesi, yama gereksinimiyle ilgili olası teslimat sorunlarının tespitini zorlaştırabilir.
Microsoft’un mevcut planı yalnızca Ekim 2025 güncelleme seviyesini başlangıç noktası olarak belirliyor. Şirket, ilerleyen aşamada Exchange Server 2016 ve Exchange Server 2019 sistemlerinden Exchange Online’a e-posta kabul etmek için daha yeni bir güvenlik seviyesini zorunlu hale getirmeyi planlıyor.
Bir sonraki aşamada bu sürümlerin yalnızca Extended Security Update (ESU) desteği kapsamında gerekli güncellemeleri almış olması bekleniyor. Alternatif olarak kuruluşların Exchange Server Subscription Edition’a geçiş yapması gerekecek.
Microsoft’un bu ikinci aşama için kesin bir tarih vermemesi dikkat çekiyor. Exchange ekibi uygulamanın devreye alınmasının birkaç ay sürebileceğini öngörüyor.
Microsoft, en son güvenlik yamalarını almamış tüm şirket içi Exchange sunucularının güvensiz kabul edilmesi gerektiğini açıkça belirtiyor. Şirket, yöneticilere destek dışı veya güncel olmayan sistemleri çalıştırmaya devam etmek yerine gerekli güncellemeleri uygulamalarını öneriyor.
Güncel olmayan Exchange Server sistemlerinin e-posta iletişiminin merkezinde bulunması, saldırganların bilinen güvenlik açıklarından yararlanması durumunda kurumun iletişim altyapısını doğrudan riske atabilir. Exchange Online tarafındaki yeni kontrol de bu nedenle yalnızca bir ürün sürümü zorunluluğu değil, Microsoft’un güvenlik standardını e-posta teslimatına doğrudan bağlayan bir mekanizma olarak öne çıkıyor.
Türkiye’de Exchange Server 2016 veya 2019 kullanan kurumların özellikle hibrit Exchange yapılarında sunucu sürümlerini, uygulanan güncellemeleri ve connector yapılandırmalarını kontrol etmesi gerekiyor. Eylül 2026 itibarıyla yapılacak kontroller, eski bir sunucunun Exchange Online üzerinden e-posta gönderememesi nedeniyle ortaya çıkabilecek operasyonel kesintilerin önüne geçebilir.
Kuruluşların önümüzdeki dönemde yalnızca Ekim 2025 yama seviyesine ulaşmayı değil, Exchange Server Subscription Edition geçiş planlarını da değerlendirmesi bekleniyor. Microsoft’un daha ileri güvenlik gereksinimlerini birkaç ay içinde uygulamaya almayı planlaması, Exchange 2016 ve 2019 altyapılarının uzun vadeli kullanımının yeniden değerlendirilmesini gerektirebilir.
