🗓 Windows Server 2022: 13 октября заканчивается основная поддержка. Что это значит на практике

Коллеги, вторник. Ровно через неделю — октябрьский Patch Tuesday и официальная смена жизненного цикла у самой массовой серверной ОС в текущих корпоративных контурах.

📌 ФАКТЫ
13 октября 2026 года — официальное завершение фазы Mainstream Support для всех редакций Windows Server 2022.

14 октября 2031 года — окончание расширенной поддержки (Extended Support).

Что прекращается: закрывается выпуск несекьюрных хотфиксов (non-security bugfixes), перестают приниматься запросы на изменение функционала (DCR) и аннулируются бесплатные инциденты технической поддержки.

Что остаётся: регулярные ежемесячные кумулятивные обновления безопасности (LCU) будут выходить в штатном режиме ещё 5 лет.

⚠️ ГДЕ НА САМОМ ДЕЛЕ ЗАРЫТ РИСК
Повода для паники нет — серверы не превратятся в тыкву. Однако этот рубеж традиционно запускает процесс бюджетирования и планирования миграций на Windows Server 2025. И вот здесь заложена классическая граната:

В Windows Server 2025 подписание SMB-трафика (SMB Signing) включено и обязательно по умолчанию для всех исходящих и входящих клиентских подключений.

Если просто накатить новую ОС или смигрировать файловый сервер без ревизии, мгновенно отвалятся:

Старые сетевые МФУ (сканирование по SMB в сетевую папку);

Древние офисные NAS и прошивки встроенных систем;

Недоконфигурированные Linux-хосты со старыми демонами Samba, где подпись отключена ради производительности.

🛠 ДИАГНОСТИКА ИНФРАСТРУКТУРЫ ДО СТАРТА МИГРАЦИИ
Выполняем на контроллере домена или серверах через PowerShell:

PowerShell

# 1. Инвентаризация: считаем точное количество инстансов Server 2022 в домене
Get-ADComputer -Filter 'OperatingSystem -like "*Server 2022*"' |
  Measure-Object | Select-Object Count

# 2. Проверяем текущую политику требования подписи SMB на сервере и клиенте
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature
Get-SmbClientConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature

# 3. Аудит с хоста: смотрим, какие текущие сессии висят БЕЗ цифровой подписи (Signed = False)
Get-SmbConnection | Select-Object ServerName, ShareName, Dialect, Signed

💡 В ЧЁМ СУТЬ

Windows Server 2022 без проблем и спешки доживёт до 2031 года в статусе надёжной «рабочей лошадки».

Но если вы уже тестируете или закупаете лицензии под Server 2025, главная задача прямо сейчас — не перенос ролей, а инвентаризация сетевых шар и легаси-оборудования без SMB signing. Иначе в первый же день после миграции техподдержка утонет в тикетах «бухгалтерия не может отсканировать документы».

#windowsserver #lifecycle #smb #activedirectory #migration #powershell #sysadmin #admin_future

🗓 Windows 11 24H2 Home и Pro больше не получают обновлений. В ноябре — очередь 23H2 Enterprise

Коллеги, вместе с рекордным Patch Tuesday незаметно подошли дедлайны жизненного цикла операционных систем Microsoft. Самое время проверить ревизии клиентских сборок в корпоративном сегменте.

📌 ФАКТЫ
Windows 11 24H2 (Home и Pro): октябрьский кумулятивный пакет стал финальным официальным обновлением безопасности для потребительских и стандартных профессиональных редакций.

Windows 10 Enterprise LTSB 2016: полностью завершился 10-летний цикл расширенной поддержки (Extended Support).

Windows 11 23H2 (Enterprise, Education, IoT Enterprise): финальный секьюрити-патч выйдет ровно через месяц, во вторник 10 ноября.

Windows Server 2022: с 13 октября серверная ветка перешла в фазу Extended Support — только обновления безопасности без функциональных доработок (до октября 2031 года).

🛠 ИНВЕНТАРИЗАЦИЯ КЛИЕНТСКИХ ОС ПО ACTIVE DIRECT
Быстрый аудит доменных рабочих станций для выявления устаревших сборок:

PowerShell

# Билды: 22631 = 23H2 | 26100 = 24H2 | 26200 = 25H2
Get-ADComputer -Filter 'Enabled -eq $true -and OperatingSystem -like "Windows 1*"' `
  -Properties OperatingSystem, OperatingSystemVersion, LastLogonDate |
  Group-Object OperatingSystem, OperatingSystemVersion |
  Sort-Object Count -Descending | 
  Select-Object Count, Name | 
  Format-Table -AutoSize

PowerShell

# Локальная проверка редакции, версии и точного номера сборки на хосте
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' |
  Select-Object ProductName, EditionID, DisplayVersion, CurrentBuild, UBR |
  Format-List

⚠️ ГЛАВНАЯ ЛОВУШКА В ПАРКЕ
Во многих филиалах и офисах ноутбуки закупаются сразу с OEM-редакцией Windows 11 Pro. Если апгрейды версий ранее замораживали через GPO или отключали службу доставки обновлений («чтобы не тормозило и не перезагружалось»), эти машины начиная с текущего месяца полностью отрезаны от секьюрити-патчей.

Ни закрытия MotW (CVE-2026-96951), ни критических RCE в превью Outlook они уже не получат штатным образом.

💡 В ЧЁМ СУТЬ

Обновление машин с 24H2 до актуальной 25H2 не требует длительной переустановки ОС или раскатки «тяжелого» WIM-образа — оно выполняется через компактный Enablement Package (eKB) через WSUS, Intune или Windows Update for Business.

Процесс сводится к одной быстрой перезагрузке рабочей станции (занимает 2–3 минуты). Прогоните инвентаризацию скриптом выше, сформируйте список хостов на 24H2 Pro и одобрите пакет перехода до конца недели.

#windows #lifecycle #windows11 #inventory #powershell #security #patchmanagement #sysadmin #admin_future

📦 Office 2021 больше не получает обновлений безопасности. Найдите его в парке до следующего Patch Tuesday

Коллеги, ещё одна критическая дата жизненного цикла ПО Microsoft, прошедшая 13 октября практически незаметно на фоне рекордного количества CVE.

📌 ФАКТЫ
Завершение жизненного цикла: для Office LTSC 2021 (включая классические пакеты Word, Excel, PowerPoint, Outlook, Access, Project и Visio) официальная поддержка окончательно прекращена 13 октября 2026 года.

Текущий статус: приложения продолжают запускаться и работать штатно, но никаких патчей безопасности и хотфиксов вендор больше выпускать не будет.

Предшественники: поддержка Office 2016 и Office 2019 завершилась ещё в октябре 2025 года — обе эти ветки уже год находятся в «серой зоне».

Реальный масштаб риска: только в октябрьском выпуске обновлений Microsoft закрыла 173 уязвимости в компонентах Office, из которых 26 получили статус Critical (один только Excel собрал 69 уязвимостей, включая 11 критических RCE). Все новые дыры ноября останутся в Office 2021 навсегда.

Что остаётся на официальной поддержке:

Microsoft 365 Apps (корпоративная подписочная модель с регулярными апдейтами каналов);

Office LTSC 2024 (текущая бессрочная корпоративная редакция с фиксированным циклом поддержки).

🛠 ИНВЕНТАРИЗАЦИЯ УСТАНОВЛЕННЫХ РЕДАКЦИЙ В ДОМЕНЕ
Быстрый аудит машин на выявление неподдерживаемых сборок:

1. Для современных установок Click-to-Run (C2R)
PowerShell

# Определяем точный продуктовый идентификатор установленного пакета:
$prodId = (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' -ErrorAction SilentlyContinue).ProductReleaseIds

# Расшифровка ключевых идентификаторов:
# ProPlus2021Volume / Standard2021Volume -> Office 2021 (ПОДДЕРЖКА ЗАВЕРШЕНА)
# ProPlus2019Volume / Standard2019Volume -> Office 2019 (ПОДДЕРЖКА ЗАВЕРШЕНА)
# O365ProPlusRetail                      -> Microsoft 365 Apps (ПОДДЕРЖИВАЕТСЯ)
# ProPlus2024Volume / Standard2024Volume -> Office 2024 (ПОДДЕРЖИВАЕТСЯ)

2. Для устаревших MSI-установок (Office 2016 и старше)
PowerShell

# Проверка классической ветки реестра Uninstall (32-бит и 64-бит):
Get-ItemProperty `
  'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*', `
  'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*' -ErrorAction SilentlyContinue |
  Where-Object { $_.DisplayName -match 'Microsoft Office (Professional|Standard|Home|LTSC)' } |
  Select-Object DisplayName, DisplayVersion, InstallDate |
  Format-Table -AutoSize

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Офисный пакет без регулярных секьюрити-обновлений — главная входная дверь для шифровальщиков и стилеров: входящие таблицы Excel, сметы и коммерческие предложения в Word открываются рядовыми сотрудниками ежедневно и на автомате.

Где искать в первую очередь:

Бухгалтерия, финансовый отдел и отдел кадров — рабочие места с максимальным входящим трафиком внешних документов от контрагентов.

Филиальные ПК и удалённые склады — где исторически «один раз поставили с дистрибутива и забыли».

Если бюджетный апгрейд всего парка на Office LTSC 2024 или облачный Microsoft 365 не согласован:

Рассмотрите гибридную схему: массовый перевод типовых рабочих мест на отечественные/open-source офисные пакеты (Р7-Офис, МойОфис, LibreOffice);

Для единичных пользователей с критической зависимостью от сложных VBA-макросов выделите изолированный терминальный сервер с актуальным поддерживаемым Office, отрезав прямой доступ из интернета.

#office #lifecycle #microsoft #security #inventory #powershell #patchmanagement #sysadmin #admin_future

📧 31 октября — последний день обновлений для Exchange 2016 и 2019. Продления не будет

Коллеги, до конца месяца четыре дня. Проверяем, на чём живёт корпоративная почта.

📌 ФАКТЫ
Расширенные обновления безопасности (ESU) для Exchange 2016 и 2019 окончательно завершаются 31 октября 2026 года

Microsoft подтвердила: следующего периода ESU не предусмотрено. Основная поддержка завершилась ещё в октябре 2025 года

Программа ESU покрывала только актуальные сборки 2016 CU23 и 2019 CU14/CU15, закрывая исключительно уязвимости уровней Critical и Important

С 1 ноября любая новая уязвимость в коде Exchange 2016/2019 останется без официального хотфикса. Серверы при этом продолжат отправлять и принимать почту, создавая опасную иллюзию штатной работы

🛠 ИНВЕНТАРИЗАЦИЯ (Exchange Management Shell)
PowerShell

# Проверка установленных версий и ролей в организации
Get-ExchangeServer | Select-Object Name, Edition, AdminDisplayVersion, ServerRole

# Версия 15.1.x — Exchange Server 2016
# Версия 15.2.x — Exchange Server 2019

🗺 ВАРИАНТЫ ДАЛЬНЕЙШИХ ДЕЙСТВИЙ
Exchange 2019 → Exchange Server Subscription Edition (SE): бесшовный апгрейд на месте (In-Place Upgrade), по механике аналогичный накату очередного CU

Exchange 2016 → Exchange Server SE: миграция через промежуточный ввод новых нод либо поэтапный переезд через гибридную инфраструктуру

Exchange Online (M365) или полный перенос сервиса на альтернативные on-prem платформы

🛡 ПЛАН ЗАЩИТЫ, ЕСЛИ НЕ УСПЕВАЕТЕ К ДЕДЛАЙНУ
Убрать веб-интерфейсы с внешнего периметра: OWA, ECP и EWS не должны быть доступны напрямую из интернета — строго через корпоративный VPN или WAF/Reverse Proxy с обязательной предаутентификацией

Изолировать транспорт: поместить серверы почтовых ящиков в изолированный сетевой сегмент с ограничением исходящих подключений

Мониторить артефакты взлома: регулярный аудит журналов IIS, проверка каталогов виртуальных директорий на наличие свежих aspx-веб-шеллов

Учесть системный твик: параметр реестра EpmapSavedContextCap для RPC-стека Windows Server остаётся актуальным и для Exchange SE

💡 В ЧЁМ СУТЬ

On-prem Exchange — одна из приоритетных мишеней для таргетированных атак: сервер напрямую завязан на Active Directory и хранит привилегированные доменные токены.

Почтовый сервер без security-патчей на внешнем IP — готовая точка входа для закрепления в периметре. Если миграция затягивается, закрывайте прямой доступ к OWA и ECP в первую очередь.

#exchange #lifecycle #mail #microsoft #sysadmin #admin_future