Skype for Business 2015 și 2019 primesc ultimul patch ESU: urmează migrarea

La 13 octombrie 2026, Microsoft a lansat actualizări de securitate pentru Skype for Business Server 2015, 2019 și Subscription Edition. Pentru edițiile 2015 și 2019, aceasta este ultima rundă accesibilă prin programul Extended Security Update (ESU) Period 2. După octombrie, actualizări noi vor primi numai instalările Subscription Edition.

Fișa Microsoft KB5131692 identifică trei vulnerabilități remediate: CVE-2026-83746 și CVE-2026-85873, ambele de escaladare a privilegiilor, și CVE-2026-70297, de execuție de cod la distanță. Aceleași CVE-uri se aplică edițiilor 2015 și 2019 acoperite de ESU. Pentru administratorii acestor servere, întrebarea imediată este dacă organizația are acces la patch; decizia care urmează este unde va migra după încheierea programului.

Ce remediază actualizarea din octombrie

CVE-2026-70297 privește posibilitatea executării de cod la distanță pe un sistem afectat. Este o categorie distinctă de escaladarea privilegiilor: în cazul acesteia din urmă, problema este obținerea unui nivel mai mare de control în sistem. Clasificarea vulnerabilităților arată tipul de efect posibil, dar nu stabilește singură condițiile concrete de exploatare pentru fiecare instalare.

Pentru edițiile vechi, lista comună de CVE-uri are o consecință practică: un server 2015 sau 2019 eligibil pentru ESU primește remedierile corespunzătoare acestei runde, chiar dacă fișa publică a actualizării descrie pachetul Subscription Edition. Eligibilitatea și pachetul instalat trebuie însă privite separat. Faptul că o vulnerabilitate se aplică unei ediții nu înseamnă că actualizarea pentru acea ediție este disponibilă fără înscrierea în programul ESU.

Patchul tratează vulnerabilitățile identificate în această lansare. Pentru serverele 2015 și 2019, el nu schimbă durata programului de actualizări și nu poate remedia probleme descoperite după ultima rundă. De aceea, instalarea lui și migrarea răspund unor riscuri diferite: primul pas acoperă vulnerabilitățile cunoscute acum, iar al doilea păstrează accesul la remedieri viitoare.

Ce primește fiecare ediție

Diferența dintre cele trei ediții ține de pachetul disponibil, dreptul de acces și continuarea actualizărilor. Identificatoarele CVE sunt comune, însă numai Subscription Edition rămâne pe traseul obișnuit al lansărilor de securitate după octombrie.

• Skype for Business Server Subscription Edition: pachetul anunțat este CU1 Security Update 2. Acoperă cele trei vulnerabilități și este actualizarea pentru ediția care va continua să primească remedieri. Pentru o organizație deja migrată, decizia imediată privește aplicarea actualizării potrivite instalării sale.
• Skype for Business Server 2019: pachetul este CU8 Security Update 4, cu acces condiționat de achiziționarea ESU Period 2. Acoperă aceleași CVE-uri, dar reprezintă ultima rundă din program pentru această ediție. După instalare, continuitatea actualizărilor cere trecerea la o platformă susținută.
• Skype for Business Server 2015: pachetul este CU13 Security Update 4 și are aceeași condiție de acces prin ESU Period 2. Remedierea vulnerabilităților din octombrie nu prelungește programul. O organizație care păstrează această ediție trebuie să trateze separat aplicarea patchului și înlocuirea serverului.

Distincția contează mai ales acolo unde serverele vechi au rămas în producție după încheierea suportului obișnuit. ESU oferă acces la actualizările eligibile în perioada acoperită; nu mută edițiile 2015 și 2019 în ciclul de actualizări al Subscription Edition. Organizațiile fără ESU Period 2 nu sunt eligibile pentru pachetele din octombrie destinate acestor două ediții.

Termenul ESU și ce se schimbă după el

Actualizările au apărut la 13 octombrie, iar analiza Ivanti plasează expirarea fazei finale ESU pentru Skype for Business Server la 31 octombrie 2026. Sunt două repere diferite: data la care patchurile au devenit disponibile și sfârșitul perioadei în care edițiile vechi mai sunt eligibile pentru acest program.

Achiziționarea ESU Period 2 poate rămâne posibilă pentru un timp limitat după încheierea lunii. O achiziție târzie permite recuperarea actualizărilor publicate până la runda din octombrie, fără a deschide o nouă perioadă de remedieri pentru 2015 sau 2019. Pentru un administrator care încă planifică instalarea, accesul la pachetul existent și accesul la patchuri viitoare sunt, așadar, chestiuni separate.

După octombrie, edițiile 2015 și 2019 nu vor mai fi testate pentru vulnerabilități în cadrul acestui program și nu vor mai apărea în anunțurile ulterioare de actualizare sau în CVE-urile publicate de MSRC. Absența unei ediții vechi dintr-un viitor anunț nu va indica siguranța ei; va reflecta faptul că aplicabilitatea noilor probleme nu mai este stabilită și publicată pentru acel produs.

Migrarea după ultimul patch

Pentru organizațiile înscrise în ESU Period 2, patchul din octombrie rezolvă vulnerabilitățile vizate de această rundă. Continuarea operării pe 2015 sau 2019 după expirarea programului lasă însă serverele fără un flux de remedieri noi. În cazul unei vulnerabilități descoperite ulterior, instalarea ultimului pachet ESU nu ar oferi protecția pe care ar aduce-o o actualizare nouă.

Destinațiile indicate pentru părăsirea edițiilor vechi sunt Skype for Business Server Subscription Edition și Microsoft Teams. Prima păstrează un traseu de server Skype for Business care continuă să primească actualizări; a doua presupune schimbarea platformei de comunicații. Alegerea depinde de mediul organizației, dar termenul este deja stabilit: după încheierea ESU Period 2, serverele 2015 și 2019 nu vor mai primi patchuri de securitate noi.

Citește și:

• IMM-urile primesc 75% pentru audit CRA, dar nu pot aplica singure
• Trei din patru angajați văd amenințări, dar numai 45% primesc alerte
• ChatGPT Business sau Microsoft 365 Copilot: datele de lucru decid