Exchange Server 2016／2019は2025年10月14日にサポートが終了済みです。すでに「切れている」状態のため、いま必要なのは移行先の検討だけではなく移行が終わるまでの止血です。外部公開範囲の縮小、EDRの導入、管理画面の遮断は、移行方針が決まっていなくても今日から実施できます。サポート切れサーバーは、取引先のセキュリティ評価で構造的に減点対象になります。
オンプレミスサーバーの移行を、現状調査から移行方式の選定、実行、運用定着までワンストップでご支援しています。Microsoft 365への移行、サーバー更改のいずれにも対応します。
サーバー移行支援 を見る →Microsoft 365 移行支援すでにサポートは終了している
オンプレミスのExchange Server 2016と2019は、2025年10月14日をもって延長サポートが終了しました。両バージョンが同じ日に終了したため、オンプレミスでExchangeを運用していた企業は一斉にサポート外へ移りました。
終了後は、原則としてセキュリティ更新プログラムが提供されません。つまり今後発見される脆弱性は、修正されないまま残り続けます。
「まだ動いているから問題ない」という状態が最も危険です。Exchangeはインターネットに面して動作するサーバーであり、過去にもProxyLogon（2021年）やProxyShell（2021年）のように、公開直後から世界規模で悪用された脆弱性が繰り返し見つかっています。パッチが出ない状態で外部公開を続けることは、次に同種の脆弱性が公表されたときに打つ手がないことを意味します。
セキュリティ以外でも問題になる
サポート切れの影響は、侵害リスクだけではありません。近年は取引先からの評価で直接的な減点材料になります。
| 場面 | 何が起きるか |
|---|---|
| 取引先のセキュリティチェックシート | 「サポート期限内の製品を使用しているか」という設問に「いいえ」と答えることになる |
| SCS評価制度などの格付け | パッチ管理の要求を構造的に満たせない。修正プログラムが提供されないため、運用でカバーできない |
| サイバー保険の更新 | 引受条件や免責事由として、サポート切れ製品の扱いが問われることがある |
| 親会社・グループ監査 | 是正計画の提出を求められ、期限管理の対象になる |
とくに2番目は見落とされがちです。SCS対応で買い足しが避けられないケースでも触れたとおり、サポートが終了した機器やOSが残っていると、パッチ管理の要求は運用の工夫では満たせません。「毎月確認しています」と説明しても、適用すべき修正が存在しないためです。
移行が終わるまでの止血
移行には数か月かかります。方針が固まっていなくても、今日から実施できる緩和策があります。優先度順に挙げます。
| 優先度 | 対策 | 効果 |
|---|---|---|
| 高 | OWA／ECPの外部公開を止める | 過去の重大な脆弱性の多くは、外部公開された管理画面やWebアクセスが起点。社内やVPN経由に限定するだけで攻撃面が大きく減る |
| 高 | EDRを導入する | 脆弱性を塞げなくても、侵入後の振る舞いを検知できる。パッチが出ない環境ではこれが最後の砦になる |
| 高 | 管理者アカウントを棚卸しする | 不要な特権を削り、多要素認証を必須にする。侵入されても被害範囲を抑える |
| 中 | ログを外部へ退避する | 侵害時にサーバー上のログは消される。別の場所へ集約しておく |
| 中 | バックアップを分離する | 同一ネットワーク・同一認証情報でアクセスできるバックアップは同時に失われる |
| 中 | 不要な機能・プロトコルを停止する | 使っていない接続方式を止め、攻撃面を減らす |
1番目が最も効果的です。外部から到達できないサーバーは、外部から攻撃されません。リモートワークでOWAを使っている場合でも、VPNや条件付きアクセスを挟む構成に変えるだけで状況は大きく変わります。
これらは移行の代替ではなく、移行までの時間を稼ぐための措置です。止血をしたことで安心して移行を止めてしまうのが、最悪の結果になります。
移行パスは2019と2016で違う
後継製品はExchange Server SE（Subscription Edition）です。移行の難易度は、現在のバージョンによって大きく変わります。
| 現行バージョン | SEへの移行 | 難易度 |
|---|---|---|
| Exchange 2019 | 最新のCU（CU15）を適用済みであれば、同一サーバー上でのインプレースアップグレードが可能 | 低（CU適用に近い） |
| Exchange 2016 | 直接アップグレード不可。新規サーバーを構築して共存させ、メールボックスを移動する | 高（実質的に新規構築＋移行） |
2016を使っている場合、SEへ移行してもオンプレミスで新規サーバーを1台構築する作業量が発生します。同じだけの手間をかけるなら、Exchange Onlineへ移行してサーバーそのものを持たない選択も現実的です。
どちらを選ぶかという判断軸については、姉妹サイトのExchange Server SEとは？2016/2019からの移行判断ガイド ↗で、費用構造と運用負荷の観点から整理しています。本記事はその先の実務を扱います。
Exchange 2016からの移行実務
2016からの移行は、どちらを選んでも共存期間の設計が中心になります。ここで手戻りが出やすい論点を挙げます。
- メールフローの経路を決める：共存中、外部からのメールをどちらのサーバーが受け、どう振り分けるか。先に決めておかないと不達が発生します
- 証明書を整理する：新サーバーにも同じ名前で証明書が必要になります。取得と適用のリードタイムを工程に入れてください
- Autodiscoverの向き先：クライアントの自動設定がどちらを向くかで、移行済みユーザーの接続が切れることがあります
- 公開フォルダ：移行の難所です。使っているかどうかを早い段階で確認し、使っていなければ廃止を決めてしまうほうが早く終わります
- 複合機・業務システムからのSMTP送信：見落としの常連です。サーバーのIPやホスト名を直書きしている機器を全台洗い出してください
最後の項目は、移行当日に「複合機からスキャンメールが送れない」という形で必ず表面化します。移行計画を立てる前に、SMTPで接続している機器とシステムの一覧を作ってください。ここが一覧化できていれば、移行の8割は見通せます。
Exchange Onlineへ移行する場合の全体的な進め方はMicrosoft 365 移行支援、移行後の初期設定はExchange Online初期設定ガイドを参照してください。
ハイブリッド構成を残す場合
すべてをクラウドへ移さず、一部をオンプレミスに残す構成を選ぶ企業もあります。判断としてあり得ますが、「移行が終わっていない状態」と「意図したハイブリッド」を区別してください。
意図したハイブリッドとして維持するなら、次の条件が必要です。
- 残す理由が説明できる：業務システムとの連携、法令・契約上の制約など。「移行が面倒だから」は理由になりません
- 残すサーバーもSEへ更新する：サポート切れのまま残せば、リスクも減点も解消しません
- ライセンスを継続的に負担する：SEはサブスクリプション型で、ソフトウェアアシュアランスの維持が前提です。買い切りではありません
- 運用体制を維持する：台数が減っても、パッチ適用と監視の運用は残ります。1台でも運用コストはゼロになりません
なお、Exchange Onlineへ全面移行した後も、オンプレミスの属性管理のためにExchangeサーバーを1台残す構成が案内されることがあります。この構成を採る場合も、そのサーバーはサポート対象である必要があります。「管理用だから」という理由でサポート切れのまま残すのは、リスク上も評価上も成立しません。
着手の順序
| 順序 | やること | 目安 |
|---|---|---|
| 1 | 止血（外部公開の縮小、EDR、管理者アカウント棚卸し） | 1〜2週間 |
| 2 | SMTP接続している機器・システムの全台洗い出し | 1〜2週間 |
| 3 | 移行先の決定（SE／Exchange Online／ハイブリッド） | 2〜4週間 |
| 4 | 移行設計（メールフロー、証明書、共存期間、公開フォルダ） | 1か月 |
| 5 | パイロット移行 → 本移行 → 旧環境の停止 | 2〜4か月 |
1と2は移行先が決まっていなくても着手できます。方針の議論で止まっている間も、この2つは進めてください。とくに2番目の洗い出しは、どの移行先を選んでも必要になる作業です。
Windows Serverのサポート終了と同時期に重なっている場合は、Windows Server 2016のEOS対応とあわせて、サーバー全体の更改計画として整理するほうが効率的です。
よくある質問
Exchange Server 2016と2019のサポートはいつ終了しましたか？
どちらも2025年10月14日に延長サポートが終了しました。両バージョンが同じ日に終了したため、オンプレミスでExchangeを運用していた企業は一斉にサポート外となりました。終了後は原則としてセキュリティ更新プログラムが提供されません。
サポートが切れていても動いていれば問題ないのでは？
今後発見される脆弱性が修正されないままになります。Exchangeはインターネットに面して動作するサーバーで、過去にも公開直後から世界規模で悪用された脆弱性が繰り返し見つかっています。パッチが出ない状態では、次に同種の脆弱性が公表されたときに打つ手がありません。
移行先が決まっていません。まず何をすべきですか？
OWAやECPの外部公開を止めて社内やVPN経由に限定すること、EDRを導入すること、管理者アカウントを棚卸しして多要素認証を必須にすることの3つです。いずれも移行先が決まっていなくても実施でき、攻撃面を大きく減らせます。
Exchange 2016からExchange Server SEへ直接アップグレードできますか？
できません。新規にサーバーを構築して共存させ、メールボックスを移動する形になります。Exchange 2019で最新のCUを適用済みであれば同一サーバー上でのインプレースアップグレードが可能ですが、2016は実質的に新規構築と移行の作業量が発生します。
移行で最も見落とされやすいものは何ですか？
複合機や業務システムからのSMTP送信です。サーバーのIPやホスト名を直書きしている機器があると、移行当日に「スキャンメールが送れない」という形で表面化します。移行計画を立てる前に、SMTPで接続している機器とシステムの一覧を作ってください。
全面クラウド移行後もExchangeサーバーを1台残す構成は問題ありませんか？
構成自体は案内されることがありますが、残すサーバーもサポート対象である必要があります。「管理用だから」という理由でサポート切れのまま残すのは、セキュリティ上も取引先評価上も成立しません。
まとめ
Exchange Server 2016／2019は2025年10月14日にサポートが終了しており、すでに「切れている」状態です。今後発見される脆弱性は修正されないため、外部公開を続けることは次の重大な脆弱性が公表されたときに打つ手がないことを意味します。
移行先の議論より先に、OWA／ECPの外部公開の縮小、EDRの導入、管理者アカウントの棚卸しを実施してください。移行方針が決まっていなくても今日から着手でき、攻撃面を大きく減らせます。
そのうえで、SMTPで接続している機器とシステムの一覧を作ってください。この一覧があれば、SE移行・Exchange Online移行のどちらを選んでも工程が見通せます。サポート切れサーバーは取引先のセキュリティ評価で構造的な減点対象になるため、是正計画を持っていること自体が説明材料になります。