Windows Server 2016: окончание поддержки в январе 2027 года и что делать администраторам

Коротко о главном

• Расширенная поддержка Windows Server 2016 завершается 12 января 2027 года. Январское обновление безопасности станет последним для всех редакций: Datacenter, Standard, Essentials и MultiPoint Premium.
• После этой даты Microsoft перестанет выпускать ежемесячные обновления безопасности для новых уязвимостей. Серверы продолжат работать, но останутся без патчей.
• Вместе с Windows Server 2016 поддержка прекращается для связанных компонентов: Hyper-V Server 2016, IIS 10, Windows Defender и Windows Server Update Services (WSUS) в составе этой версии.
• Основной рекомендуемый путь миграция на Windows Server 2025. Прямое обновление с 2016 на 2025 не поддерживается: потребуется промежуточный шаг через Windows Server 2022.
• Если миграция не успевает к январю, остаётся платный вариант Extended Security Updates (ESU) через Azure Arc. Критические и важные патчи будут доступны до трёх лет, до 2030 года.
• ESU не включает новые функции или обычную техническую поддержку. Для локальных серверов может потребоваться активная Software Assurance или эквивалентная подписка.
• Настройка ESU для Windows Server 2016 через Azure Arc доступна в портале Azure с 3 августа 2026 года. Биллинг начинается с 13 января 2027 года.

Ключевые даты жизненного цикла Windows Server 2016

Windows Server 2016 следует фиксированной политике жизненного цикла Microsoft. Вот основные вехи.

Основная поддержка завершилась ещё в январе 2022 года, но расширенная фаза продолжалась до 2027 года. Именно 12 января 2027 года истекает последний срок, после которого регулярные обновления безопасности прекращаются.

Что изменится после 12 января 2027 года

После окончания поддержки ничего не выключится мгновенно, но риски будут накапливаться.

• Новых патчей безопасности не будет. Уязвимости, обнаруженные после января 2027 года, останутся незакрытыми, если не приобрести ESU.
• Аудит и комплаенс. Многие стандарты безопасности требуют либо замены неподдерживаемой ОС, либо официального принятия риска. Аудиторы будут фиксировать такие серверы как отклонение.
• Поддержка вендоров приложений. Разработчики ПО могут прекратить сертификацию своих продуктов на Windows Server 2016, что усложнит получение поддержки.
• Связанные компоненты. Поддержка Hyper-V Server 2016 (отдельного бесплатного гипервизора), IIS 10 и WSUS в составе этой версии также прекращается.
• Функции Essentials. Специфические возможности редакции Essentials, включая Remote Web Access, перестанут поддерживаться.

Серверы продолжат работать в прежнем режиме, но со временем отсутствие патчей становится критическим фактором для систем, подключённых к интернету или обрабатывающих чувствительные данные.

Вариант 1: миграция на Windows Server 2025 (рекомендуемый)

Microsoft прямо рекомендует перейти на Windows Server 2025 последний релиз в канале Long-Term Servicing Channel (LTSC). Он вышел в ноябре 2024 года и будет получать основную поддержку до ноября 2029 года, а расширенную до 14 ноября 2034 года.

Путь обновления: напрямую или через 2022?

Прямое in-place обновление с Windows Server 2016 до Windows Server 2025 официально не поддерживается. Microsoft поддерживает обновление максимум через две версии, поэтому для перехода с 2016 на 2025 требуется промежуточная остановка на Windows Server 2022.

Возможные сценарии:

• In-place upgrade: 2016 → 2022 → 2025. Подходит для виртуальных машин. Требует двух последовательных обновлений и тщательного тестирования на каждом этапе.
• Чистая установка Windows Server 2025. Не имеет ограничений по числу версий, но требует переустановки системы и повторной настройки приложений. Для многих рабочих нагрузок это более предсказуемый путь.

Перед миграцией стоит воспользоваться бесплатной 180-дневной пробной версией Windows Server 2025 из Microsoft Evaluation Center, чтобы проверить совместимость приложений.

С чего начать миграцию

• Инвентаризация. Найдите все серверы под управлением Windows Server 2016, включая виртуальные машины, физические хосты и системы в изолированных сегментах.
• Приоритизация. В первую очередь обновляйте серверы, доступные из интернета, и системы с конфиденциальными данными. Внутренние тестовые стенды могут подождать.
• Тестирование совместимости. Проверьте каждое критическое приложение на целевой версии до переключения.
• Маркировка планов. Для каждого сервера определите судьбу: обновление, изоляция, вывод из эксплуатации или ESU.

Вариант 2: Extended Security Updates (ESU) через Azure Arc

Если миграция не укладывается в сроки, Microsoft предлагает платное продление Extended Security Updates. Это временный мост, а не долгосрочное решение.

Что даёт ESU

• Критические и важные обновления безопасности для Windows Server 2016 в течение до трёх лет, то есть до 2030 года.
• ESU не включает новые функции, небезопасные исправления по запросу клиентов или изменения дизайна.

Как подключить ESU

Для Windows Server 2016 ESU поставляются через Azure Arc-enabled servers. Это позволяет регистрировать локальные и другие серверы в Azure и получать патчи без необходимости приобретать ключи активации.

• Настройка ESU в портале Azure доступна с 3 августа 2026 года.
• Биллинг начинается с 13 января 2027 года.
• Оплата помесячная, с возможностью миграции в середине года.
• Расходы можно списывать из существующего обязательства Microsoft Azure Consumption Commitment (MACC).

Важные условия и ограничения

• Требования к лицензированию. Для локальных серверов может потребоваться активная Software Assurance или эквивалентная подписка. Это условие стоит уточнить у представителя Microsoft или партнёра до планирования бюджета.
• Цена растёт. Microsoft не публикует официальный прайс-лист на ESU для Windows Server 2016. По данным отраслевых изданий, стоимость может удваиваться с каждым годом продления. За три года совокупные расходы могут достичь значительных сумм.
• Azure Arc не отменяет лицензионных требований. Даже при управлении через Arc для локальных систем может действовать требование Software Assurance.
• Патчи не появляются автоматически. После регистрации в ESU сервер становится правомочным на получение патчей, но доставлять их нужно через Azure Update Manager, WSUS или другое решение для управления обновлениями.

ESU стоит рассматривать как способ выиграть время для аккуратной миграции, а не как замену обновлению.

Вариант 3: изоляция и вывод из эксплуатации

Не все серверы можно обновить быстро. Для таких случаев есть два дополнительных подхода.

• Изоляция. Если приложение нельзя перенести или обновить в срок, уменьшите поверхность атаки. Переместите сервер в ограниченный сетевой сегмент, отключите доступ из интернета и ограничьте входящие подключения только необходимыми портами. Задокументируйте исключение и компенсирующие меры.
• Вывод из эксплуатации. Инвентаризация часто выявляет серверы, которые выполняют устаревшие или дублирующиеся задачи. Если рабочая нагрузка больше не нужна, отключение такого сервера самый дешёвый и безопасный вариант.

Эти меры не устраняют риск полностью, но позволяют снизить его до приемлемого уровня на время переходного периода.

План действий для администратора

До января 2027 года остаётся чуть больше двух месяцев. Вот практический план, который можно адаптировать под вашу инфраструктуру.

1. Найдите все серверы с Windows Server 2016. Включите в список виртуальные машины, физические хосты и системы в изолированных сегментах, которые могли выпасть из поля зрения.
2. Определите судьбу каждого сервера. Пометьте каждый как «обновить», «изолировать», «вывести из эксплуатации» или «ESU». Это поможет расставить приоритеты и распределить ресурсы.
3. Начните с самых уязвимых. В первую очередь обновляйте серверы, доступные из интернета, и системы, обрабатывающие конфиденциальные данные.
4. Протестируйте путь обновления. Для критических приложений проверьте совместимость с Windows Server 2022 (как промежуточным шагом) и Windows Server 2025. Используйте пробную версию и тестовый стенд.
5. Оцените необходимость ESU. Если миграция не успевает к январю, начните оформление ESU через Azure Arc заранее. Настройка доступна с августа 2026 года, но бюджет и лицензионные требования лучше согласовать до конца года.
6. Продолжайте устанавливать патчи. До момента вывода сервера из эксплуатации или перехода на ESU продолжайте устанавливать ежемесячные обновления безопасности. Каждый пропущенный патч увеличивает риск, который вы переносите в переходный период.
7. Задокументируйте исключения. Для серверов, которые останутся на 2016 с ESU или в изоляции, подготовьте обоснование и план дальнейших действий. Это пригодится при аудите и для отчётности перед руководством.

Часто задаваемые вопросы

Когда именно заканчивается поддержка Windows Server 2016?

Расширенная поддержка завершается 12 января 2027 года. Январское обновление безопасности станет последним.

Какие редакции затронуты?

Все редакции: Datacenter, Standard, Essentials и MultiPoint Premium.

Сервер перестанет работать после января 2027 года?

Нет. Сервер продолжит работать, но перестанет получать обновления безопасности для новых уязвимостей. Риск будет расти со временем.

Можно ли обновить Windows Server 2016 напрямую до Windows Server 2025?

Официально прямое in-place обновление не поддерживается. Требуется промежуточный шаг через Windows Server 2022 либо чистая установка Windows Server 2025.

Что такое ESU и сколько это стоит?

Extended Security Updates платная программа продления критических и важных обновлений безопасности на срок до трёх лет. Официальный прайс-лист Microsoft не публикует. По данным отраслевых источников, стоимость может удваиваться ежегодно, а совокупные расходы за три года могут быть значительными.

Обязательна ли Software Assurance для ESU?

Для локальных серверов может потребоваться активная Software Assurance или эквивалентная подписка. Условия стоит уточнять у Microsoft или партнёра, так как они могут зависеть от сценария развёртывания.

ESU работает через Azure Arc. Нужно ли переносить сервер в Azure?

Нет. Azure Arc позволяет управлять серверами вне Azure, включая локальные и размещённые у других провайдеров. Перенос в Azure не обязателен, но регистрация в Arc необходима для получения ESU.

Что будет с Hyper-V Server 2016?

Поддержка отдельного бесплатного гипервизора Hyper-V Server 2016 также прекращается 12 января 2027 года. Как и IIS 10, WSUS и другие компоненты в составе этой версии.

Где скачать пробную версию Windows Server 2025?

Бесплатная 180-дневная пробная версия доступна в Microsoft Evaluation Center по адресу microsoft.com/evalcenter/evaluate-windows-server-2025.

Что в итоге

• Дедлайн близко. 12 января 2027 года последний день, когда Windows Server 2016 получит регулярное обновление безопасности. После этой даты новые уязвимости останутся незакрытыми.
• Рекомендуемый путь Windows Server 2025. Он даёт поддержку до 2034 года, но требует либо промежуточного обновления через 2022, либо чистой установки.
• ESU временное решение. Оно позволяет выиграть время, но связано с расходами и лицензионными условиями. Оформлять ESU через Azure Arc стоит заранее.
• Начните с инвентаризации. Найдите все серверы, определите их судьбу и действуйте по приоритету. Не оставляйте миграцию на последнюю неделю декабря.