Microsoft heeft de release van Cumulative Update 1 voor Exchange Server Subscription Edition uitgesteld. Het bedrijf wijt de vertraging aan extra werk dat voortkomt uit het gebruik van AI-tools voor het opsporen van kwetsbaarheden. Een concrete releasedatum kan Microsoft nog niet geven.
Microsoft heeft de release van Cumulative Update 1 (CU1) voor Exchange Server Subscription Edition (SE) opnieuw uitgesteld. In een blogpost met de titel ‘Where is Exchange SE CU1 anyway?’ erkent het Exchange-team dat klanten vragen stellen over de status van de update. Microsoft had eerder aangegeven dat CU1 in de eerste helft van 2026 zou verschijnen, wat later werd bijgesteld naar de tweede helft van het jaar.
Exchange SE is de abonnementsversie van de mailserver van Microsoft. Een Cumulative Update bundelt bugfixes met andere wijzigingen, zoals nieuwe functies of het verwijderen van verouderde code. Microsoft brengt dit soort updates doorgaans één tot twee keer per jaar uit. Voor een abonnementsproduct is een uitgestelde CU volgens critici geen sterk argument voor het pay-as-you-go-model.
Extra werk door AI-tools
Volgens Microsoft hebben verschillende directieleden de afgelopen maanden aangegeven dat het bedrijf AI-tools inzet om kwetsbaarheden in zijn producten op te sporen. Het Exchange-ontwikkelteam meldt dat dit heeft geleid tot een grotere hoeveelheid gerapporteerde problemen die moeten worden gevalideerd, gereproduceerd, gerepareerd en getest op regressie, voordat maandelijkse updates kunnen worden uitgebracht. Deze extra stappen zouden capaciteit wegnemen die anders naar de ontwikkeling van CU1 was gegaan.
Beveiliging boven planning
Microsoft verwijst in de blogpost ook naar zijn eerdere toezegging om beveiliging boven alles te stellen. Die koers werd ingezet nadat kwetsbaarheden in Exchange in het verleden zijn misbruikt bij een aanval die werd toegeschreven aan vermoedelijk Chinese actoren, wat destijds kritiek opleverde vanuit de Amerikaanse overheid. Het Exchange-team stelt dat het doorlopend beveiligingspatches verwerkt in de interne CU1-build en van plan is CU1 uit te brengen zodra er een stabiel moment is zonder urgente beveiligingsupdates.
Microsoft geeft aan dat het bewust geen CU1 wil uitbrengen die kort daarna alweer vervangen moet worden door een nieuwe versie met extra beveiligingsupdates. Dat zou volgens het bedrijf dubbel werk opleveren voor beheerders die de update moeten implementeren, en ook intern de testlast verzwaren, omdat CU1 alle wijzigingen sinds de eerste release van Exchange SE moet bevatten.
Geen releasedatum
De blogpost besluit dat CU1 eraan komt, maar dat Microsoft geen datum kan geven. Het bedrijf benadrukt wel dat de update niet is vergeten. Onduidelijk blijft wanneer Microsoft een periode verwacht zonder urgente beveiligingswerkzaamheden die voorrang krijgen op de release van CU1.
