Najważniejsze w skrócie
- Rozszerzone wsparcie Windows Server 2016 kończy się 12 stycznia 2027 r. Po tej dacie system nie dostaje poprawek bezpieczeństwa, chyba że organizacja wykupi ESU.
- Microsoft udostępnia płatne rozszerzone aktualizacje zabezpieczeń (ESU) przez Azure Arc. To rozwiązanie przejściowe na czas migracji, a nie plan na lata.
- Aktualizacja w miejscu z 2016 bezpośrednio do 2025 jest wspierana, ale kontrolery domeny i serwery z wieloma rolami bezpieczniej przenieść na nowe, czyste serwery.
- Nowe serwery to też nowe licencje dostępowe: użytkownicy serwera 2025 potrzebują CAL w wersji 2025, a serwery terminali RDS CAL 2025.
- Serwer bez poprawek to problem nie tylko techniczny: ustawa o KSC wymaga zarządzania aktualizacjami, KRI ograniczania ryzyka znanych podatności, a ubezpieczyciele pytają o systemy bez wsparcia.
Co oznacza koniec wsparcia
Windows Server 2016 podlega stałej polityce cyklu życia Microsoftu: 5 lat wsparcia podstawowego i 5 lat rozszerzonego. Wsparcie podstawowe, czyli nowe funkcje i poprawki niezwiązane z bezpieczeństwem, skończyło się w styczniu 2022 r. Od tego czasu system dostaje już tylko poprawki bezpieczeństwa, a ostatnie z nich pojawią się 12 stycznia 2027 r.
Po tej dacie serwer nie przestanie działać. Zmieni się to, że każda nowa podatność zostanie w nim na zawsze, a producenci innego oprogramowania (kopii zapasowych, antywirusów, systemów dziedzinowych) zaczną wycofywać wsparcie dla swoich agentów na tej wersji. Często w tym samym czasie kończy się wsparcie dla oprogramowania działającego na serwerze: SQL Server 2016 stracił je w lipcu 2026 r., a Exchange Server 2016 w październiku 2025 r.
| Wersja | Koniec wsparcia (poprawek bezpieczeństwa) |
|---|---|
| Windows Server 2012 i 2012 R2 | 10 października 2023 r. |
| Windows Server 2016 | 12 stycznia 2027 r. |
| Windows Server 2019 | 9 stycznia 2029 r. |
| Windows Server 2022 | 14 października 2031 r. |
| Windows Server 2025 | listopad 2034 r. |
Daty według strony cyklu życia produktów Microsoft. Jeśli w sieci są też serwery 2019, warto od razu uwzględnić je w planie: ta wersja straci wsparcie w styczniu 2029 r.
Dlaczego nie warto zostawiać serwera bez poprawek
Atakujący nie muszą szukać nowych luk. Po publikacji poprawki dla nowszych systemów łatwo sprawdzić, co zmieniono, i przygotować atak na wersje, które poprawki już nie dostaną. Niezałatany serwer w sieci firmowej to typowa droga, którą ransomware przechodzi od jednej zainfekowanej stacji do kontrolera domeny i kopii zapasowych.
Do tego dochodzą wymagania formalne:
- ustawa o KSC (NIS2) wymienia zarządzanie aktualizacjami wśród obowiązkowych środków bezpieczeństwa podmiotów kluczowych i ważnych,
- KRI wymaga od podmiotów publicznych ograniczania ryzyka wynikającego z opublikowanych podatności technicznych, a audytor zapyta o systemy bez wsparcia,
- RODO wymaga środków bezpieczeństwa odpowiednich do ryzyka; system bez poprawek trudno tak nazwać, gdy dojdzie do naruszenia,
- ubezpieczyciele w ankietach do polis cyber pytają o systemy bez wsparcia producenta, a nieprawdziwa odpowiedź może utrudnić wypłatę odszkodowania po incydencie.
Opcje: co zrobić z każdym serwerem
Nie ma jednej odpowiedzi dla całej serwerowni. Decyzję podejmuje się osobno dla każdego serwera, zależnie od tego, co na nim działa:
| Opcja | Kiedy ma sens | Na co uważać |
|---|---|---|
| Nowy serwer i przeniesienie ról | Domyślny wybór: kontrolery domeny, serwery plików, serwery terminali, serwery z wieloma rolami | Wymaga planu i okien serwisowych, ale daje czysty system bez wieloletnich naleciałości |
| Aktualizacja w miejscu do 2022 lub 2025 | Prosty serwer z jedną aplikacją, która ma wsparcie na nowej wersji | Kopia zapasowa i test przed aktualizacją; sterowniki i agenci muszą obsługiwać nową wersję |
| ESU przez Azure Arc | Aplikacja, której nie da się przenieść przed 12 stycznia 2027 r., bo zależy od producenta | Dodatkowa opłata za każdy serwer; to tylko most na czas migracji |
| Chmura albo usługa | Rola, którą lepiej kupić jako usługę, na przykład poczta albo udziały plików w Microsoft 365 | Koszty abonamentu, wymagania prawne co do miejsca przetwarzania danych |
| Wyłączenie | Serwer, którego nikt już nie używa | Najpierw wyłączyć na kilka tygodni, potem usunąć z domeny, DNS i kopii |
Microsoft oficjalnie wspiera aktualizację w miejscu z Windows Server 2016 bezpośrednio do 2025. W praktyce dobrze sprawdza się na prostych serwerach. Na serwerach, które przez lata obrosły rolami, agentami i ręcznymi zmianami, nowy system i przeniesienie ról zwykle zajmują podobnie dużo czasu, a dają przewidywalny wynik.
Kontrolery domeny i Active Directory
Kontrolerów domeny nie aktualizujemy w miejscu. Stawiamy nowe kontrolery na Windows Server 2025, przenosimy na nie role i dopiero potem obniżamy stare. Przed startem trzeba sprawdzić kilka rzeczy:
- Kondycja domeny. Replikacja bez błędów (
repadmin /replsummary,dcdiag), poprawny DNS. Migracja nie naprawi problemów, które już są, a może je pogłębić. - Replikacja SYSVOL przez DFSR. Stary mechanizm FRS nie jest obsługiwany przez nowe kontrolery domeny. Jeśli domena go jeszcze używa, najpierw trzeba przeprowadzić migrację do DFSR (
dfsrmig). - Poziom funkcjonalny. Żeby dodać kontroler z Windows Server 2025, domena i las muszą mieć poziom funkcjonalny co najmniej Windows Server 2016.
- Zgodność starszych aplikacji i urządzeń. Nowe wersje mają ostrzejsze ustawienia domyślne i wycofują stare protokoły. Skanery, drukarki, systemy dziedzinowe i urządzenia sieciowe logujące się do domeny trzeba przetestować.
Przebieg
- Nowy serwer z Windows Server 2025 dołączony do domeny i wypromowany na kontroler domeny z DNS i katalogiem globalnym.
- Przeniesienie ról FSMO, ustawienie źródła czasu na nowym emulatorze PDC.
- Przeniesienie DHCP, jeśli działa na kontrolerze, i aktualizacja adresów DNS w zakresach DHCP oraz na serwerach ze statycznym IP.
- Kilka dni obserwacji: replikacja, logowanie, zasady grupy, aplikacje korzystające z LDAP.
- Obniżenie starego kontrolera, sprzątanie wpisów w DNS i w Active Directory.
- Podniesienie poziomu funkcjonalnego do 2025 dopiero wtedy, gdy wszystkie kontrolery mają Windows Server 2025. To krok opcjonalny i nie trzeba go robić od razu.
Serwery plików, aplikacje, SQL Server i serwery terminali
Serwery plików
Microsoft ma do tego narzędzie: Storage Migration Service w Windows Admin Center. Przenosi udziały, pliki i uprawnienia, a na koniec potrafi przejąć nazwę i adres IP starego serwera, więc użytkownicy i mapowania dysków nie zauważają zmiany. Alternatywa to kopiowanie z zachowaniem uprawnień (robocopy) i przestrzeń nazw DFS, dzięki której ścieżki nie zależą od nazwy konkretnego serwera.
Aplikacje
Najwięcej czasu zajmuje zwykle rozmowa z producentem: czy aplikacja ma wsparcie na Windows Server 2022 lub 2025, czy wymaga nowej wersji, kto ją zainstaluje i przeniesie dane. Warto zacząć od tego, bo terminy producentów bywają długie.
SQL Server
Na serwerach 2016 często działa SQL Server 2016, który stracił wsparcie w lipcu 2026 r. Migracja serwera to dobra okazja, żeby przenieść bazy na wspieraną wersję SQL Server. Przed zmianą trzeba sprawdzić, czy aplikacja ją obsługuje, i przetestować poziom zgodności baz.
Serwery terminali (RDS)
Licencje dostępowe RDS CAL są przypisane do wersji: na serwerze 2025 potrzebne są RDS CAL 2025. Nową farmę warto zbudować obok starej i przenosić użytkowników grupami.
Hosty Hyper-V
Aktualizacja klastra węzeł po węźle (Cluster OS Rolling Upgrade) działa tylko o jedną wersję naraz. Z 2016 zwykle szybciej jest zbudować nowy klaster na 2025 i przenieść maszyny migracją na żywo.
Licencje: o czym pamiętać
- Licencje na rdzenie. Windows Server 2025 licencjonuje się od fizycznych rdzeni: co najmniej 8 na procesor i 16 na serwer.
- Standard czy Datacenter. Standard daje prawo do dwóch maszyn wirtualnych z Windows na licencjonowanym hoście (więcej po dokupieniu kolejnego kompletu licencji), Datacenter do dowolnej liczby. Przy kilkunastu maszynach na hoście zwykle opłaca się Datacenter.
- Licencje dostępowe CAL. Każdy użytkownik albo urządzenie korzystające z serwera 2025 potrzebuje CAL w wersji 2025 lub nowszej. Stare CAL 2016 nie wystarczą, nawet jeśli serwer 2016 zostaje obok.
- Software Assurance i prawa do starszych wersji. Z aktywnym SA nowa wersja może być już opłacona. Licencja 2025 pozwala też uruchomić starszą wersję, jeśli aplikacja tego wymaga.
- Inne produkty. SQL Server, RDS i System Center licencjonuje się osobno.
Plan działań i lista kontrolna
Zacznij od listy. Wszystkie komputery z Windows Server 2016 w domenie pokaże jedno polecenie PowerShell (moduł Active Directory):
Get-ADComputer -Filter 'OperatingSystem -like "*2016*"' -Properties OperatingSystem, LastLogonDate |
Select-Object Name, OperatingSystem, LastLogonDate | Sort-Object NameSerwery spoza domeny, urządzenia z wbudowanym Windows Server i maszyny w chmurze trzeba dopisać ręcznie.
- Lista serwerów 2016 z rolami, aplikacjami, właścicielem i informacją, co się stanie, gdy serwer przestanie działać.
- Decyzja dla każdego serwera: nowy serwer, aktualizacja w miejscu, ESU, usługa albo wyłączenie.
- Potwierdzenie od producentów aplikacji, że obsługują docelową wersję.
- Sprawdzenie sprzętu i wirtualizacji: Windows Server 2025 wymaga procesora z obsługą m.in. SSE4.2 i POPCNT, a sterowniki i oprogramowanie układowe muszą wspierać nowy system.
- Zakup licencji: rdzenie Windows Server, CAL 2025, ewentualnie RDS CAL i SQL Server.
- Kopie zapasowe wszystkich serwerów przed zmianą i test odtworzenia.
- Kontrola kondycji Active Directory i migracja SYSVOL do DFSR, jeśli to potrzebne.
- Harmonogram w oknach serwisowych: najpierw kontrolery domeny, potem pliki i drukarki, na końcu aplikacje.
- Dla serwerów, które nie zdążą przed 12 stycznia 2027 r.: ESU i termin ich przeniesienia.
- Po migracji: aktualizacja dokumentacji, monitoringu i kopii, usunięcie starych serwerów z domeny i DNS.
Najczęstsze pytania
Czy serwer z Windows Server 2016 przestanie działać 12 stycznia 2027 r.?
Nie. Serwer będzie działał jak wcześniej, ale przestanie dostawać poprawki bezpieczeństwa. Każda podatność odkryta po tej dacie zostanie w nim otwarta, chyba że organizacja wykupi rozszerzone aktualizacje zabezpieczeń (ESU).
Czy można zaktualizować Windows Server 2016 od razu do 2025?
Tak, Microsoft wspiera bezpośrednią aktualizację w miejscu z 2016 do 2025. Sprawdza się na prostych serwerach. Kontrolery domeny i serwery z wieloma rolami lepiej przenieść na nowy, czysty system.
Ile kosztują rozszerzone aktualizacje zabezpieczeń (ESU)?
Cena zależy od liczby rdzeni i jest rozliczana przez Azure Arc według aktualnego cennika Microsoftu. Przy wcześniejszych wersjach Windows Server ESU były dostępne maksymalnie przez trzy lata. Zwykle opłacają się tylko jako most na kilka miesięcy dla serwerów, których nie da się przenieść na czas.
Czy przejście na Windows Server 2025 wymaga nowych licencji CAL?
Tak. Użytkownicy i urządzenia korzystające z serwera 2025 potrzebują CAL w wersji 2025 lub nowszej, a serwery terminali RDS CAL 2025. Jeśli CAL są objęte aktywnym Software Assurance, prawo do wersji 2025 jest już w umowie.
Wybrać Windows Server 2022 czy 2025?
Zwykle 2025: ma wsparcie do listopada 2034 r. i najnowsze zabezpieczenia. Wersja 2022 ma sens wtedy, gdy producent aplikacji nie potwierdził jeszcze wsparcia dla 2025.
Źródła
- Microsoft Lifecycle: Windows Server 2016
- Microsoft Lifecycle: Windows Server 2025
- Microsoft Windows Server Blog: koniec wsparcia Windows Server 2016 i ESU przez Azure Arc
- Microsoft Learn: nowości w Windows Server 2025 (ścieżki aktualizacji)
- Microsoft Learn: poziomy funkcjonalne Active Directory
- Microsoft Learn: Storage Migration Service
- Microsoft Lifecycle: SQL Server 2016
Stan na 6 listopada 2026 r. Warunki licencji i ESU zależą od umowy z Microsoftem; przed zakupem potwierdź je u partnera.