Il supporto di Windows Server 2016 finisce il 12 gennaio 2027. L'aggiornamento di sicurezza di gennaio 2027 è l'ultimo che Microsoft rilascia per tutte le edizioni: Standard, Datacenter, Essentials e MultiPoint Premium.
Dal giorno dopo i server continuano ad avviarsi e a lavorare, ma ogni vulnerabilità scoperta in seguito resta aperta. Le strade sono tre: migrare a Windows Server 2025, proteggere con le micropatch di 0patch i server che non si possono spostare subito, oppure pagare a Microsoft le Extended Security Updates (ESU), per un massimo di tre anni.
Sistema supportato fino al 14 novembre 2034.
Micropatch per le vulnerabilità critiche di Windows Server 2016 e per le zero-day.
Aggiornamenti Microsoft classificati Critical e Important, per un massimo di tre anni.
Con poche settimane a disposizione, per la maggior parte delle PMI la scelta sensata è combinare le prime due: un piano di migrazione per i server che contano e 0patch come ponte per quelli che non si fanno in tempo. Le ESU hanno senso in casi precisi, che vediamo più avanti.
In questa guida trovi cosa cambia, come fare l'inventario dei server, il confronto tra le tre strade e un piano di lavoro fino a gennaio.
Hai ancora server con Windows Server 2016? Parliamone in una call di 30 minuti: ti aiutiamo a decidere quali migrare e quali proteggere.
Cosa cambia dal 13 gennaio 2027
Dal 13 gennaio 2027 Windows Server 2016 non riceve più aggiornamenti di sicurezza gratuiti. Il supporto principale era già finito l'11 gennaio 2022: da allora arrivavano solo le patch di sicurezza, e ora si fermano anche quelle.
Dal Patch Tuesday di febbraio 2027 Windows Server 2016 non compare più, salvo per chi ha attivato le ESU.
Su Windows Server 2016 Essentials termina anche il supporto a Remote Web Access e alle altre funzioni specifiche dell'edizione.
I produttori di backup, EDR, gestionali e database toglieranno via via il 2016 dalle piattaforme supportate.
Un sistema operativo fuori supporto viene di solito segnalato negli audit di sicurezza e nei questionari delle polizze cyber, e va giustificato con misure compensative.
Cosa non cambia: il server non si spegne, la licenza resta valida e i servizi continuano a funzionare. Il rischio cresce in silenzio, mese dopo mese.
Due scadenze collegate sono già passate: SQL Server 2016 è fuori supporto da luglio 2026, Exchange Server 2016 da ottobre 2025. Se girano su server 2016, vanno pianificati insieme al sistema operativo.
Prima di scegliere: l'inventario dei server 2016
Il ruolo di ciascun server decide quasi sempre la strada. Prima di tutto serve un elenco dei server 2016, fisici e virtuali, con quello che fa ognuno.
| Ruolo sul server | Cosa verificare | Strada più frequente |
|---|---|---|
| Domain controller | Livello funzionale di dominio e foresta; replica di SYSVOL con DFSR e non con FRS | Nuovi domain controller 2025 affiancati, poi dismissione dei 2016 |
| File server | Condivisioni, permessi NTFS, DFS, quote | Nuovo server 2025 oppure migrazione su SharePoint Online |
| Remote Desktop (RDS) | CAL RDS, applicazioni installate, profili utente | Nuova farm 2025 costruita in parallelo |
| SQL Server 2016 | Già fuori supporto; versione supportata dal gestionale | Migrare database e sistema operativo insieme |
| Exchange Server 2016 | Già fuori supporto | Migrazione a Microsoft 365 o a Exchange Server Subscription Edition |
| Applicativo di terze parti | Il produttore certifica Windows Server 2025? | Migrazione se certificato, altrimenti 0patch come ponte |
| Host Hyper-V in cluster | Versione del cluster e stato dell'hardware | Aggiornamento rolling, una versione alla volta, oppure nuovi host |
Per ogni server annota anche età e garanzia dell'hardware. Un server fisico vicino a fine vita conviene spostarlo su un host nuovo, invece di aggiornarne il sistema operativo.
Migrazione, 0patch o ESU: il confronto
La migrazione è l'unica destinazione definitiva. 0patch è il ponte più economico per i server che non si spostano in tempo, le ESU sono il ponte ufficiale di Microsoft e il più caro.
| Migrazione a Windows Server 2025 | 0patch | ESU Microsoft | |
|---|---|---|---|
| Cosa ottieni | Sistema supportato fino al 14 novembre 2034 | Micropatch per le vulnerabilità critiche di Windows Server 2016 e per le zero-day | Aggiornamenti Microsoft classificati Critical e Important |
| Costo | Licenze Windows Server 2025 (per core, minimo 16 per server) più il progetto | 24,95 € + IVA per server all'anno (Professional), 34,95 € con gestione centralizzata (Enterprise) | A core: mensile tramite Azure Arc o annuale in Volume Licensing; serve la Software Assurance o licenze in abbonamento |
| Durata | Fino al 2034 | Abbonamento annuale, rinnovabile | Al massimo tre anni, fino al 2030 |
| Attivazione | Da giorni a settimane per server | Agente installato in pochi minuti | Collegamento ad Azure Arc e licenza nel portale Azure |
| Riavvii | Sì, durante la migrazione | Nessuno: le micropatch si applicano a caldo | Come per le normali patch mensili |
| Limiti | Tempo, test degli applicativi, licenze | Corregge le vulnerabilità critiche per quanto possibile, non ogni fix Microsoft | Costo per core; servono la Software Assurance o licenze in abbonamento |
| Quando sceglierla | Sempre, come punto di arrivo | Server da migrare nel 2027, applicativi legacy, budget limitato | Contratti o audit che chiedono esplicitamente patch Microsoft |
Migrare a Windows Server 2025: cosa sapere
Da Windows Server 2016 si passa direttamente a Windows Server 2025, senza tappe intermedie: per i server non in cluster Microsoft supporta l'aggiornamento in place fino a quattro versioni di salto.
Aggiornamento in place o nuova installazione
Mantiene ruoli, dati e configurazione. Va bene per server membri semplici, dopo backup e snapshot.
È la strada che consigliamo per domain controller, autorità di certificazione, RDS e server con anni di configurazioni stratificate. Si parte puliti e il vecchio server resta disponibile fino al collaudo.
Con il rolling upgrade si sale di una versione alla volta (2016, 2019, 2022, 2025). Spesso conviene costruire host nuovi.
Windows Server 2025 offre anche l'hotpatching tramite Azure Arc, in abbonamento: molte patch mensili si installano senza riavvio.
Cosa rallenta di più una migrazione
Nelle migrazioni da 2016 a 2025 che abbiamo seguito abbiamo usato soprattutto la nuova installazione. Gli intoppi più frequenti sono stati due: applicativi che il fornitore non aveva ancora certificato su Windows Server 2025, e agenti di terze parti come backup, antivirus ed EDR da aggiornare o reinstallare. Per questo conviene chiedere conferma ai fornitori prima di fissare le date.
Licenze
Ogni versione richiede la propria licenza: le licenze 2016 non coprono il 2025, salvo Software Assurance attiva.
Le licenze sono per core: minimo 8 per processore e 16 per server. La Standard copre due macchine virtuali sull'host licenziato.
Anche le CAL devono essere della versione 2025: trovi i dettagli nella guida alle CAL di Windows Server.
Come Microsoft Cloud Solution Provider, Nexsys fornisce le licenze Windows Server 2025 insieme al progetto.
Domain controller
Per promuovere un domain controller 2025, dominio e foresta devono essere almeno al livello funzionale Windows Server 2016.
SYSVOL deve replicare con DFSR. I domini molto vecchi, mai migrati, usano ancora FRS: va migrato prima.
Sequenza tipica: nuovo DC 2025, verifica della replica, spostamento dei ruoli FSMO, dismissione dei DC 2016. Il livello funzionale 2025 si alza solo quando tutti i DC sono 2025.
Prima di introdurre DC 2025 controlla chi può creare account gestiti delegati: lo spieghiamo nell'articolo sulla vulnerabilità dMSA di Windows Server 2025.
Sui domain controller dei clienti abbiamo trovato spesso tre problemi da risolvere prima di introdurre un DC 2025: SYSVOL ancora replicato con FRS, livello funzionale di dominio o foresta sotto il 2016, errori di replica mai emersi. Vanno sistemati prima, non il giorno della migrazione.
La migrazione dei DC è il momento giusto anche per un assessment e hardening di Active Directory. Se invece vuoi che il tuo team gestisca da solo il nuovo ambiente, c'è il corso Windows Server 2025.
0patch per Windows Server 2016: il ponte per chi non fa in tempo
0patch ha inserito Windows Server 2016 tra i sistemi che seguirà dopo la fine del supporto, a partire da gennaio 2027. Continuerà a monitorare le nuove vulnerabilità critiche e a rilasciare micropatch per correggerle.
Come funziona
Su ogni server si installa un agente leggero. Le micropatch correggono in memoria il codice vulnerabile, senza riavvio e senza fermare i servizi.
Per ricevere le micropatch dopo la scadenza, il server deve avere installato l'ultimo aggiornamento Microsoft, quello di gennaio 2027.
Una micropatch che crea problemi a un applicativo si disattiva dalla console, sempre senza riavvio.
Oltre alle correzioni post-supporto, 0patch rilascia micropatch per vulnerabilità zero-day ancora prive di patch ufficiale.
Quanto costa
Tutte le micropatch, comprese quelle post-supporto.
In più gestione centralizzata, criteri di patching per gruppi, installazione silenziosa, ruoli per più amministratori.
Il prezzo è lo stesso dei PC, con sconti di volume da 20 licenze. Il piano gratuito vale solo per uso personale, non profit o didattico: a un'azienda non basta.
Cosa non fa
Non è supporto Microsoft. Se un contratto o un auditor chiede esplicitamente aggiornamenti del produttore, servono le ESU.
Corregge le vulnerabilità critiche per quanto possibile, non ogni fix che Microsoft avrebbe rilasciato.
Non risolve la compatibilità: se il fornitore del gestionale o del backup abbandona il 2016, il problema resta.
Non sostituisce patch management, EDR, backup verificati e, alla fine, la migrazione.
Come lo gestisce Nexsys
Sui server, i nostri clienti hanno scelto 0patch per quattro motivi: applicativi legacy che non girano o non sono certificati sulle versioni nuove, server da spegnere entro pochi mesi, un costo molto più basso delle ESU e il bisogno di un ponte mentre la migrazione va avanti.
Nexsys è partner 0patch. Forniamo le licenze, installiamo e configuriamo gli agenti e verifichiamo che le micropatch siano attive su ogni server. Con il servizio gestito continuativo ricevi anche un report periodico su agenti e micropatch applicate.
È lo stesso approccio che abbiamo descritto per i PC nella guida alla fine del supporto di Windows 10.
ESU di Microsoft: quando hanno senso
Le ESU per Windows Server 2016 esistono e si attivano soprattutto tramite Azure Arc. Sono la scelta giusta quando serve una patch ufficiale Microsoft, ma costano molto più di 0patch e hanno vincoli precisi.
Il server on-premises si collega ad Azure, si crea la licenza ESU nel portale e la si associa ai server. Si configura dal 3 agosto 2026; la fatturazione mensile parte dal 13 gennaio 2027.
Licenze annuali. Chi parte da qui non può passare ad Arc in seguito.
Software Assurance attiva sulle licenze Windows Server, oppure licenze in abbonamento o SPLA, da dichiarare quando si crea la licenza.
Solo Standard e Datacenter. Per Essentials e MultiPoint Premium le ESU non ci sono: restano la migrazione e 0patch.
Per core e per edizione (Standard o Datacenter), con un minimo di 16 core per server fisico e 8 per macchina virtuale.
Chi attiva le ESU dopo il 12 gennaio paga gli arretrati da quella data. Le licenze attivate si pagano anche se non sono ancora collegate a un server.
Per il 2016 non c'è il beneficio gratuito sui server di DR, che vanno coperti come gli altri.
Fino a tre anni di aggiornamenti Critical e Important, nessuna nuova funzione e nessuna correzione non di sicurezza.
Il costo esatto dipende da core ed edizione e si calcola sul calcolatore prezzi di Azure: per un singolo server resta comunque molto più alto dei 24,95 € l'anno di 0patch Professional.
Le ESU convengono quando un contratto, un auditor o una polizza chiedono patch del produttore, quando la Software Assurance è già attiva, o quando il fornitore di un applicativo supporta il 2016 solo con aggiornamenti Microsoft. Se per qualche server sono la scelta giusta, le configuriamo in Azure Arc e, come Microsoft Cloud Solution Provider, forniamo anche la sottoscrizione Azure su cui vengono fatturate.
Un piano realistico prima del 12 gennaio
Con poche settimane a disposizione, feste comprese, l'obiettivo non è migrare tutto. È arrivare al 12 gennaio senza server scoperti e con una data di uscita per ognuno.
Elenca i server 2016 con ruolo, applicativi e hardware, poi dividili in tre gruppi: da migrare subito, da migrare nel 2027, da dismettere.
Installa l'agente su un server non critico e verifica che conviva con EDR, backup e applicativi. Già oggi riceve le micropatch zero-day.
Parti dai server più semplici e dai domain controller, affiancando nuovi DC 2025.
Installa l'aggiornamento di gennaio 2027 su tutti i server 2016 rimasti, poi attiva 0patch prima del Patch Tuesday di febbraio. Le ESU solo dove servono davvero.
Rispetta la data di uscita fissata per ogni server e togli l'agente 0patch man mano che migri.
Come ti aiuta Nexsys
Ti aiutiamo a decidere quali server migrare e quali proteggere, poi seguiamo il lavoro con la consulenza sistemistica e le licenze 0patch.
Inventario dei server 2016, piano di migrazione, nuovi domain controller, file server e farm RDS su Windows Server 2025, licenze tramite il canale CSP. Puoi partire con un pacchetto da 10 ore a partire da 500 € + IVA, senza scadenza; c'è anche il pacchetto da 20 ore.
Licenze Professional o Enterprise, installazione e configurazione degli agenti, servizio gestito con report periodico per chi lo vuole.
Dopo la migrazione, gli aggiornamenti dei server si governano con Action1, anche come servizio gestito.
Domande frequenti
Posso continuare a usare Windows Server 2016 dopo il 12 gennaio 2027?
Sì, il server continua a funzionare e la licenza resta valida. Dal 13 gennaio 2027, però, Microsoft non rilascia più patch di sicurezza gratuite e ogni nuova vulnerabilità resta aperta. Senza migrazione, ESU o micropatch di 0patch, il server diventa un punto debole della rete e negli audit di sicurezza va giustificato con misure compensative.
Quanto costa proteggere un server 2016 dopo la fine del supporto?
Con 0patch Professional costa 24,95 € + IVA all'anno per server, 34,95 € con il piano Enterprise e la gestione centralizzata. Le ESU di Microsoft costano molto di più: si pagano per core, con un minimo di 16 core per server fisico, e richiedono la Software Assurance o licenze in abbonamento. Il costo della migrazione dipende da ruoli e applicativi e si definisce dopo l'inventario.
0patch è un'alternativa affidabile alle ESU di Microsoft?
Per la maggior parte dei server sì. 0patch segue già Windows Server 2008 R2 e 2012 dopo la fine del supporto e corregge le vulnerabilità critiche con micropatch applicate senza riavvio. Non è però un aggiornamento Microsoft: se un contratto, un auditor o una polizza chiedono patch del produttore, per quei server servono le ESU.
Si può aggiornare Windows Server 2016 direttamente a Windows Server 2025?
Sì. Per i server non in cluster Microsoft supporta l'aggiornamento in place da 2016 a 2025 senza passaggi intermedi, mentre i cluster con rolling upgrade salgono una versione alla volta. Per domain controller, autorità di certificazione e farm RDS consigliamo comunque una nuova installazione con migrazione dei ruoli: è più pulita e lascia il vecchio server disponibile fino al collaudo.
Le licenze Windows Server 2016 valgono anche per Windows Server 2025?
No, salvo che abbiano la Software Assurance attiva, che dà diritto alle nuove versioni. Altrimenti servono licenze Windows Server 2025, per core e con un minimo di 16 core per server, e anche le CAL vanno portate alla versione 2025. Come Microsoft Cloud Solution Provider, Nexsys fornisce le licenze insieme al progetto di migrazione.
Entro quando bisogna attivare 0patch o le ESU?
Per 0patch il server deve avere installato l'aggiornamento Microsoft di gennaio 2027, e conviene attivare le licenze prima del Patch Tuesday di febbraio 2027, il primo senza patch ufficiali. Le ESU tramite Azure Arc si configurano già da agosto 2026: chi le attiva dopo il 12 gennaio paga comunque gli arretrati da quella data.
Hai ancora server con Windows Server 2016?
In una call di 30 minuti guardiamo insieme quanti server hai, quali migrare subito e dove 0patch ti fa guadagnare tempo.
Richiedi una call di 30 minuti