- O suporte estendido para Windows Server 2016 termina em 12 de janeiro de 2027. A atualização do Patch Tuesday de janeiro é a última para servidores sem ESU
- As Extended Security Updates (ESU) valem por até três anos, até 2030, e cobrem apenas correções de segurança críticas e importantes
- Servidores on-premises recebem ESU via Azure Arc, cobrados mensalmente a partir de 13 de janeiro de 2027. Você precisa do Software Assurance, uma assinatura de servidor ou licença SPLA para comprá-lo
- A Microsoft não publicou um preço de tabela para Windows Server 2016 ESU. Peça um orçamento ao seu parceiro de licenciamento agora, antes do prazo final de janeiro
- O SQL Server 2016 deixou o suporte em 14 de julho de 2026 e o Exchange Server 2016 em 14 de outubro de 2025, portanto, muitos servidores de 2016 já executam mais de um produto sem suporte
O que muda em 12 de janeiro de 2027
O Windows Server 2016 foi lançado em outubro de 2016. O suporte principal terminou em janeiro de 2022, e a página de ciclo de vida da Microsoft lista o fim do suporte estendido como 12 de janeiro de 2027. Essa data também é o Patch Tuesday de janeiro, portanto, a atualização cumulativa lançada naquele dia é a final para qualquer servidor não inscrito no ESU.
Nada desliga. Os servidores continuam inicializando, o Active Directory continua autenticando usuários e os compartilhamentos de arquivos permanecem online. As correções param. Uma vulnerabilidade divulgada em fevereiro de 2027 será corrigida no Windows Server 2019, 2022 e 2025, e os invasores poderão comparar esses patches para descobrir exatamente o que continua aberto no 2016. As imagens de contêiner construídas na imagem base do Windows Server 2016 seguem as mesmas datas.
Onde o Windows Server 2016 se esconde no seu ambiente
Os principais servidores de aplicação provavelmente já estão na sua lista. As instalações de 2016 que dão problema costumam ser as que ficam de fora do projeto de servidores:
- Controladores de domínio montados em 2017 ou 2018 e deixados de lado desde então
- Hosts Hyper-V, que deixam todas as máquinas virtuais expostas se o próprio host estiver comprometido
- Hosts do Remote Desktop Services e o servidor de licenciamento por trás deles
- Servidores de backup, impressão e arquivos, geralmente em hardware mais antigo em um rack de comunicação
- Sistemas entregues por fornecedores, como gravadores de CFTV, automação predial, equipamentos de laboratório ou um sistema de gestão, em que o fornecedor instalou o 2016 e controla a atualização
- Um Exchange Server 2016 mantido para gerenciamento híbrido, sem suporte desde outubro de 2025
- Instâncias do SQL Server 2016, que perderam suporte em julho de 2026 e precisam de plano próprio
Suas opções comparadas
| Opção | O que você ganha | Melhor para |
|---|---|---|
| Atualização in-place para o Windows Server 2025 | Suporte até novembro de 2034. O Windows Server 2025 aceita atualização in-place direta a partir do 2016. Antes, confirme que suas aplicações, o agente de backup e o software dos fornecedores suportam o 2025 | Servidores estáveis, de função única, em hardware com alguns anos de vida útil |
| Instalar do zero e migrar | Uma instalação limpa sem drivers, agentes e configurações da era 2016 | Controladores de domínio, servidores de arquivos e qualquer coisa em hardware antigo |
| Mover a carga de trabalho para o Azure | Nenhum hardware para substituir. A Microsoft já incluiu o ESU para versões mais antigas do Windows Server no Azure sem custo extra | Servidores que já precisam de troca de hardware |
| Comprar ESU via Azure Arc | Até três anos de correções de segurança, cobradas mensalmente | Servidores que não podem ser movidos antes de janeiro, como sistemas de fornecedores que aguardam uma versão suportada |
| Desativar o servidor | Menos um sistema para corrigir e licenciar | Cargas de trabalho já migradas para o SharePoint, um produto SaaS ou outro servidor |
Não atualize controladores de domínio no local. Adicione controladores de domínio Windows Server 2025, mova as funções FSMO, verifique a replicação e, em seguida, rebaixe e remova as máquinas 2016. Assim não fica para trás um sistema atualizado por cima do antigo. Em um domínio com um único site, isso pode levar um ou dois dias; mais sites, ou uma autoridade certificadora instalada em um controlador de domínio, aumentam o prazo. Para a rota do Azure, confirme os termos atuais do ESU para 2016 com seu parceiro de licenciamento antes de contar com cobertura gratuita.
Como funciona o ESU para Windows Server 2016
A Microsoft anunciou o ESU do Windows Server 2016 em fevereiro de 2026 e o entrega para servidores on-premises e multicloud por meio do Azure Arc. Você instala o agente Azure Connected Machine (versão 1.62 ou posterior) em cada servidor, conecta-o à sua assinatura do Azure e inscreve-o no ESU pelo portal do Azure ou com o Azure Policy. As inscrições estão abertas desde 3 de agosto de 2026 e o faturamento começa em 13 de janeiro de 2027.
Os termos são mais restritos do que muitas equipes esperam:
- Somente as edições Standard e Datacenter são elegíveis
- Para comprar o ESU, você precisa do Software Assurance por meio de um programa de licenciamento por volume, como Enterprise Agreement, Server and Cloud Enrollment ou Open Value. Servidores licenciados através do SPLA ou de uma assinatura de servidor não precisam do Software Assurance
- ESU cobre atualizações de segurança classificadas como Críticas e Importantes. Não inclui novos recursos, correções não relacionadas à segurança ou alterações de design
- O faturamento é por uso, mês a mês, então você para de pagar por um servidor depois que ele for migrado. As cobranças podem abater um compromisso de consumo do Azure já existente
- Máquinas de desktop virtual (VDI) não usam o Arc. A Microsoft as direciona para chaves de ativação múltipla (MAK)
- Os servidores inscritos recebem Azure Update Manager, Change Tracking and Inventory e a configuração de convidado do Azure Policy sem custo extra
A Microsoft não havia publicado um preço de tabela para o ESU do Windows Server 2016 no momento em que este artigo foi escrito. Peça ao seu parceiro de licenciamento um orçamento por escrito com base em sua contagem de núcleos e verifique se seu Software Assurance não expira durante o período ESU.
Cada servidor inscrito deve acessar o Microsoft Entra ID, os endpoints do serviço Azure Arc e o site de download de certificados da Microsoft, diretamente, por meio de um proxy ou via Private Link. Servidores em redes isoladas, como sistemas industriais ou de automação predial, precisam dessa rota combinada com o responsável pelo firewall. A Microsoft mantém a lista atual de endpoints e os requisitos do agente no guia de preparação do ESU via Arc (em inglês). A lista muda, então confira antes de pedir liberações no firewall. Teste um servidor em novembro, não em 11 de janeiro.
Um plano de 11 semanas
Este cronograma é apertado. Sistemas de fornecedores, compras de hardware e o congelamento de mudanças do fim de ano podem empurrar alguns servidores para depois de janeiro; as etapas 4 e 6 existem para esses casos.
Implicações de conformidade
LGPD, artigo 46: os agentes de tratamento devem adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais. Depois de um incidente em um servidor sem atualizações, a ANPD pode tratar a falta de patches como prova de que essas medidas não eram adequadas. A Resolução CD/ANPD nº 15/2024 exige a comunicação de incidentes relevantes em até três dias úteis.
ISO 27001:2022, Anexo A.8.8 (gestão de vulnerabilidades técnicas) espera que você identifique vulnerabilidades e as trate dentro de um prazo definido. O auditor vai pedir um plano de correção com datas para cada servidor que deixou de receber patches.
Instituições financeiras e de pagamento seguem a Resolução CMN nº 4.893/2021 e a Resolução BCB nº 85/2021, que incluem testes e varreduras periódicas para detecção de vulnerabilidades na política de segurança cibernética. Empresas que atendem clientes na União Europeia também vão ouvir a mesma pergunta nas avaliações de fornecedores, por causa da NIS2, artigo 21.
Se você também está aposentando o Windows 10, nosso guia sobre o fim da vida útil do Windows 10 cobre as estações de trabalho, e o guia de gerenciamento de vulnerabilidades explica como rastrear sistemas não corrigidos após o prazo.