Windows Server 2016 esce dal supporto il 12 gennaio: la proroga stavolta si paga anche in cloud, e restano undici settimane

Il 13 ottobre Microsoft ha rilasciato l’ultimo aggiornamento di sicurezza per Windows Server 2012 e 2012 R2. Si chiudeva il triennio di patch estese a pagamento, e il giorno dopo le licenze ESU attivate tramite Azure Arc sono state disattivate. Chi ha ancora quei server in produzione li ha, da due settimane, senza più alcuna copertura.

Il turno successivo è già in calendario. Il 12 gennaio 2027 finisce il supporto esteso di Windows Server 2016, e la data coincide con il Patch Tuesday di gennaio: sarà l’ultimo aggiornamento compreso nella licenza. Da oggi mancano undici settimane, con le festività in mezzo. Sono poche per migrare un parco server, abbastanza per decidere cosa fare di ciascuna macchina.

Cosa succede dal 13 gennaio, e cosa no

Nessun server si spegnerà. I sistemi continueranno ad avviarsi, a servire file e a far girare le applicazioni come oggi. Smetteranno però di ricevere correzioni di sicurezza: ogni vulnerabilità scoperta dopo quella data resterà aperta. E le patch che continueranno ad arrivare per le versioni supportate indicheranno, a chi attacca, anche dove cercare sulle versioni che non le riceveranno.

In molte infrastrutture, poi, Windows Server 2016 non è solo. SQL Server 2016 è fuori supporto dal 14 luglio, e spesso gira proprio su quei server: sulla stessa macchina il problema è doppio, e la migrazione va pensata insieme.

La proroga c’è, ma con regole nuove

Anche per Windows Server 2016 Microsoft offre gli Extended Security Updates (ESU): aggiornamenti di sicurezza critici e importanti per un massimo di tre anni, fino al 2030. Niente nuove funzionalità, niente correzioni non legate alla sicurezza. Tre condizioni cambiano i conti rispetto al ciclo precedente.

• Passano da Azure Arc. Il canale su cui Microsoft punta è un abbonamento a consumo tramite Azure Arc, configurabile dal 3 agosto e fatturato dal 13 gennaio. Ogni server deve avere l’agente Arc e raggiungere i servizi Azure, direttamente, via proxy o con un collegamento privato. Per un server in un segmento isolato significa aprire un percorso verso l’esterno che oggi non esiste, e va progettato con la stessa cura di qualsiasi altra regola firewall.
• Serve la Software Assurance. Per acquistarle occorre la Software Assurance nei programmi di licenza a volume, oppure licenze SPLA o in abbonamento. Chi ha server con licenze prive di questa copertura potrebbe non avere accesso all’opzione ponte: va verificato adesso, non a gennaio.
• Il cloud non le regala più. Per i server 2012, spostare la macchina in Azure dava diritto alle ESU senza costi aggiuntivi. Dal 1° aprile 2026 Microsoft applica alle nuove offerte ESU lo stesso prezzo di listino in Azure, on-premises o su altri cloud pubblici. La scorciatoia “lo portiamo in cloud così le patch sono incluse” per il 2016 non vale.

Le ESU non sono una soluzione, sono il prezzo di un rinvio. Hanno senso solo se, il giorno in cui le attivate, sapete già quando le spegnerete.

Undici settimane: il triage, server per server

Con il tempo che resta, l’errore è trattare il parco 2016 come un unico progetto. Conviene dividerlo in quattro gruppi.

• Da spegnere. In ogni censimento emergono server che nessuno usa più, o ruoli che si possono consolidare altrove. È la riduzione di rischio più economica che esista.
• Da migrare per primi. Controller di dominio, server esposti a internet o raggiungibili da partner e fornitori, sistemi che custodiscono credenziali e backup. È qui che una vulnerabilità non corretta pesa di più.
• Da coprire con le ESU, a tempo. Applicazioni che richiedono un ciclo di test o una nuova release del fornitore. Il ponte serve a loro, con una data di uscita scritta nel piano.
• Da isolare. Software che non verrà mai portato su una versione recente: va segregato in rete, con accessi ridotti al minimo e un monitoraggio dedicato, finché non viene sostituito.

Il vincolo vero, di solito, non è Windows ma ciò che ci gira sopra: l’applicazione certificata su una sola versione, il database da migrare insieme al sistema, gli agenti di backup e di sicurezza che seguono il ciclo di vita del sistema operativo con le proprie tempistiche. E, dove la migrazione richiede hardware nuovo, i prezzi e i tempi di consegna delle memorie che quest’anno hanno già messo sotto pressione i progetti di refresh.

NIS2: un sistema fuori supporto va motivato

Per i soggetti NIS2 il tema è anche di conformità. Le misure di base fissate da ACN comprendono la manutenzione del software (misura PR.PS-02): nel framework NIST CSF 2.0 da cui deriva la codifica, il software va mantenuto, sostituito o rimosso in proporzione al rischio. Un server fuori supporto non è di per sé una violazione, ma è un rischio che va valutato, trattato e documentato. In caso di verifica, o peggio di incidente, “non abbiamo fatto in tempo” non è una misura di sicurezza.

Il nostro punto di vista

Una fine supporto annunciata da anni diventa un’emergenza solo quando manca l’inventario. Nei progetti data center partiamo sempre da lì: ogni server legato a ruolo, applicazioni, dipendenze, licenze e data di fine vita. Con quella mappa il 12 gennaio smette di essere una scadenza unica e diventa un elenco di decisioni, ciascuna con la sua priorità.

Per i carichi da spostare in fretta, il cloud SUNDATA è un’alternativa al riacquisto di hardware nel momento peggiore del mercato: infrastruttura a consumo nei nostri data center in Italia, su cui riportare i servizi direttamente su versioni supportate. Per ciò che resta in casa, ESU comprese, conta la gestione continuativa: verificare che gli aggiornamenti arrivino davvero e che le eccezioni restino eccezioni, ognuna con la sua data di scadenza.