اگر سازمان شما هنوز Exchange 2016 یا 2019 دارد، این هفته وقت تصمیم است. امنیت Exchange Server داخلی از اول نوامبر ۲۰۲۶ شکل دیگری پیدا کرده: دورهٔ دوم برنامهٔ ESU با پایان اکتبر بسته شد و مایکروسافت گفته هیچ تمدید دیگری در کار نیست. یعنی هر آسیب‌پذیری تازه‌ای که از این به بعد در این دو نسخه پیدا شود، برای همیشه باز می‌ماند.
در بیشتر ارزیابی‌های امنیت ایمیل، مشکل اصلی خود Exchange نیست، بلکه نحوهٔ انتشار آن است: صفحهٔ مدیریت ECP مستقیم روی اینترنت، SMTP بدون دروازه و آخرین به‌روزرسانی تجمعی که دو سال قدیمی است. این‌ها تصمیم‌های پیکربندی‌اند و در چند هفته اصلاح می‌شوند.
دروازهٔ ایمیل جلوی SMTP: هرزنامه، فیشینگ و پیوست مخرب باید پیش از رسیدن به Exchange حذف شوند. راهنمای مشترک CISA و NSA هم صریحاً همین را توصیه می‌کند.
پیش‌احراز هویت جلوی OWA: هیچ درخواست ناشناسی نباید به IIS برسد؛ MFA را همین‌جا اجباری کنید.
حفاظت سطح صندوق روی سرور: آنتی‌ویروس فایل محتوای ایمیل و پیوست را نمی‌بیند.
محدود کردن ECP و Remote PowerShell فقط به شبکهٔ مدیریتی.
دید و بازیابی: لاگ IIS در SIEM، اسکن ماهانهٔ آسیب‌پذیری و پشتیبانی که بازیابی‌اش آزموده شده باشد.
اجرای Exchange Health Checker بهترین نقطهٔ شروع است. بعد Extended Protection، یکپارچگی AMSI، TLS 1.2 به بالا و سرویس Emergency Mitigation را بررسی کنید. اگر روی Exchange 2019 با CU14 یا CU15 هستید، ارتقا به Exchange SE درجا و شبیه نصب یک CU است؛ برای 2016 باید سرور جدید کنار آن بگذارید و صندوق‌ها را جابه‌جا کنید.
یک عدد نشان می‌دهد چرا این موضوع جدی است: در اسکن ۱۰ اوت ۲۰۲۵ بنیاد Shadowserver، ۲۹٬۰۹۸ سرور Exchange در دسترس از اینترنت هنوز در برابر آسیب‌پذیری هیبریدی CVE-2025-53786 وصله نشده بودند؛ آن هم وقتی وصله وجود داشت. اگر محیط شما هیبرید است و به Exchange Online هم وصل است، برنامهٔ اختصاصی Hybrid را هم جدا کنید.
یک یادآوری صادقانه: دروازه و WAF جای وصله را نمی‌گیرند، فقط زمان می‌خرند. پس در کنار این لایه‌ها، یک تاریخ قطعی برای مهاجرت بنویسید.
نسخهٔ کامل این مطلب همراه با چک‌لیست اقدام در این نشانی منتشر شده است؛ آن را در نوار آدرس مرورگر وارد کنید: symantecland.com/exchange-server
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
