Microsoft mengumumkan bahwa dukungan keamanan untuk Exchange Server 2016 dan Exchange Server 2019 akan berakhir pada Oktober 2026. Keputusan ini memaksa ribuan organisasi di seluruh dunia, termasuk di Indonesia, untuk melakukan migrasi atau menghadapi risiko keamanan yang semakin meningkat tanpa patch keamanan reguler.
APA YANG TERJADI?
Microsoft telah mengonfirmasi bahwa mainstream support untuk Exchange Server 2016 dan Exchange Server 2019 akan berakhir pada Oktober 2026. Setelah tanggal tersebut, kedua versi produk email server populer ini tidak akan lagi menerima patch keamanan, termasuk perbaikan untuk vulnerability zero-day yang mungkin ditemukan di masa mendatang. Keputusan ini merupakan bagian dari siklus end-of-life (EOL) standar Microsoft untuk produk-produk server-nya.
Masa transisi sebelum EOL memberikan jendela waktu sekitar 90 hari bagi organisasi untuk menyelesaikan migrasi ke Exchange Online (bagian dari Microsoft 365) atau ke versi Exchange yang lebih baru. Namun pengalaman menunjukkan bahwa banyak organisasi cenderung menunda migrasi hingga mendekati batas waktu, yang sering kali mengakibatkan keputusan terburu-buru yang dapat membuka celah keamanan baru.
DETAIL TEKNIS
Exchange Server 2016 dan 2019 telah menjadi target favorit penjahat siber selama beberapa tahun terakhir. Serangan ProxyLogon (CVE-2021-26855) dan ProxyShell (CVE-2021-34473) merupakan beberapa exploit paling berbahaya yang pernah ditemukan di Exchange Server, memungkinkan penyerang untuk melakukan RCE tanpa autentikasi. Meskipun Microsoft telah merilis patch untuk vulnerability-vulnerability tersebut, organisasi yang menjalankan versi EOL tidak akan lagi menerima perlindungan serupa di masa mendatang.
Setelah Oktober 2026, setiap vulnerability baru yang ditemukan di Exchange 2016 atau 2019 tidak akan mendapat patch resmi dari Microsoft. Ini berarti organisasi yang memilih untuk tetap menggunakan versi ini harus mengandalkan virtual patching, WAF rules, atau solusi keamanan pihak ketiga untuk melindungi infrastruktur mereka. Namun pendekatan ini hanya bersifat sementara dan tidak menggantikan patch resmi dalam jangka panjang.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki jumlah pengguna Exchange Server yang signifikan, terutama di sektor pemerintahan, BUMN, dan perusahaan manufaktur. Berdasarkan data dari berbagai survei keamanan siber, banyak organisasi Indonesia masih menjalankan Exchange Server 2016 karena biaya migrasi ke Exchange Online yang dianggap tinggi atau karena kebutuhan untuk mempertahankan data email di infrastruktur lokal (on-premises) karena alasan compliance.
BSSN dan Kementerian Kominfo perlu mengeluarkan peringatan resmi kepada instansi pemerintah dan BUMN mengenai deadline EOL Exchange ini. Organisasi yang gagal bermigrasi sebelum Oktober 2026 akan berada dalam posisi sangat rentan karena mereka tidak akan lagi menerima patch keamanan untuk kerentanan baru yang ditemukan di produk ini.
REKOMENDASI MITIGASI
Organisasi harus segera memulai perencanaan migrasi ke Exchange Online atau versi Exchange yang masih didukung. Untuk organisasi yang memiliki alasan kuat untuk tetap menggunakan Exchange on-premises, migrasi ke Exchange Server Subscription Edition (SE) yang baru harus dipertimbangkan. Selama masa transisi, implementasi virtual patching melalui WAF yang dikonfigurasi untuk mendeteksi eksploitasi Exchange known vulnerability menjadi sangat penting.
Tim keamanan harus melakukan assessment menyeluh terhadap seluruh instalasi Exchange yang ada di jaringan mereka, termasuk instalasi shadow IT yang mungkin tidak tercatat dalam inventaris. Setelah assessment selesai, roadmap migrasi harus disusun dengan timeline yang realistis dan resource yang memadai untuk memastikan transisi dapat diselesaikan sebelum deadline EOL.
Analisa Retasan
Keputusan Microsoft untuk mengakhiri dukungan Exchange 2016 dan 2019 bukan sekadar rutinitas end-of-life – ini merupakan peringatan keras bagi organisasi yang masih bergantung pada infrastruktur email warisan. Sejak insiden ProxyLogon pada tahun 2021, Exchange Server telah menjadi salah satu target paling berharga bagi penjahat siber, termasuk APT groups yang disponsori negara. Tanpa patch keamanan reguler, setiap vulnerability baru yang ditemukan di Exchange EOL akan menjadi undangan terbuka bagi penyerang.
Yang lebih mengkhawatirkan adalah fakta bahwa banyak organisasi masih belum menyadari berapa banyak instalasi Exchange yang sebenarnya ada di jaringan mereka. Shadow IT, instalasi testing yang terlupakan, dan server yang di-deploy oleh departemen TI sebelum standarisasi keamanan diterapkan semua berpotensi menjadi titik masuk bagi penyerang setelah patch keamanan berhenti tersedia. Fenomena ini mirip dengan apa yang terjadi pada Windows Server 2012 dan Windows 7 EOL, di mana ribuan organisasi masih menjalankan sistem operasi tanpa patch berbulan-bulan atau bahkan bertahun-tahun setelah end-of-support.
Bagi Indonesia, urgensi migrasi Exchange menjadi semakin penting mengingat bahwa banyak instansi pemerintah masih menggunakan Exchange on-premises dengan alasan kedaulatan data. Solusinya bukan mengabaikan kebutuhan kedaulatan data, tetapi mencari cara untuk memenuhi kedua persyaratan tersebut – baik melalui Exchange SE di data center lokal maupun melalui layanan cloud yang mematuhi regulasi UU PDP Indonesia. Organisasi harus mulai bertindak sekarang karena window untuk migrasi yang terencana dan aman semakin sempit menjelang Oktober 2026.
Sumber: BleepingComputer, Microsoft
