Microsoft har ingen dato for Exchange SE CU1

Microsoft har udskudt den første kumulative opdatering til Exchange Server Subscription Edition på ubestemt tid. CU1 var oprindeligt ventet i første halvdel af 2026, blev senere flyttet til anden halvdel af året, og Microsoft siger nu, at selskabet ikke kan angive en ny dato.

Forsinkelsen skyldes blandt andet den større arbejdsbyrde, der følger af sikkerhedsproblemer fundet gennem AI-assisteret research og scanning. Hvert fund skal først valideres, genskabes, udbedres og testes grundigt, før Microsoft kan vurdere, om ændringen kan indgå sikkert i en kumulativ opdatering. Teamet skal samtidig kontrollere, at rettelserne ikke skaber nye stabilitets- eller kompatibilitetsproblemer.

For Exchange-administratorer er budskabet derfor klart: Vent ikke på CU1 for at reducere sikkerhedsrisikoen. Fortsæt med at installere de månedlige Exchange SE Security Updates, og planlæg CU1 separat, når Microsoft erklærer den klar.

Derfor er CU1 forsinket

AI-assisterede sikkerhedsværktøjer kan finde kandidater til sårbarheder hurtigere, end udviklingsteams kan undersøge dem. Et rapporteret problem kan vise sig at være en reel sårbarhed, en falsk positiv eller et problem, der er vanskeligt at reproducere pålideligt.

Hvis problemet er ægte, skal Microsofts ingeniører udvikle og implementere en rettelse. Derefter skal den testes på tværs af Exchange-kodebasen, og teamet skal undersøge, om ændringen giver regressioner – altså om eksisterende funktioner eller driftsstabilitet bliver påvirket.

Microsoft beskriver processen som en løbende opgave, der omfatter validering af nye fund, reproduktion, rettelser, regressionstest og månedlige udgivelser.

Det betyder, at CU1 ikke blot er en færdig pakke, der mangler at blive offentliggjort. Hvis Microsoft havde holdt fast i den oprindelige tidsplan, kunne selskabet være blevet presset til enten at udelade nyligt bekræftede sårbarheder, udsende utilstrækkeligt testede rettelser eller udgive en opdatering med nye driftsproblemer.

Microsoft har valgt forsinkelsen. Exchange-teamet vil ifølge selskabet udgive CU1, når buildet er nået et rimeligt stabilt punkt, og der er en måned uden en presserende sikkerhedspakke, der skal prioriteres.

Tidsplanen er ændret flere gange

Microsofts plan for CU1 har udviklet sig i flere trin:

• Oprindeligt var CU1 planlagt til første halvdel af kalenderåret 2026.
• Målet blev senere flyttet til anden halvdel af 2026.
• Microsoft angiver nu ingen måldato og oplyser, at CU1 stadig er under udvikling.

Mens arbejdet fortsætter, bliver de månedlige sikkerhedsrettelser løbende lagt ind i Microsofts interne CU1-build. Den endelige kumulative opdatering skal derfor efter planen indeholde det sikkerhedsarbejde, der er færdiggjort under forsinkelsen. Der er altså ikke tale om, at Exchange SE's sikkerhedsvedligeholdelse er sat på pause.

De månedlige sikkerhedsopdateringer fortsætter

Den manglende CU1-dato betyder ikke, at Exchange SE-kunder står uden sikkerhedsrettelser. Microsoft udgav Exchange SE Security Updates i juni, juli og august 2026.

Maj var en undtagelse. Microsoft meddelte, at der ikke ville komme en almindelig Exchange Security Update den måned. Senere udsendte selskabet vejledning og oplysninger om afhjælpning for CVE-2026-42897. I juli oplyste Microsoft, at den anbefalede afhjælpning kunne fjernes, når juli-opdateringen var installeret.

August-udgivelsen håndterede også CVE-2026-65813, en sårbarhed, der kan give en angriber mulighed for at opnå højere rettigheder. Den påvirker blandt andet Exchange Server Subscription Edition.

Hvad Exchange-administratorer bør gøre nu

Installer hver månedlig Exchange SE Security Update

CU1 bør ikke behandles som en sikkerhedsdeadline, som organisationer kan vente på. Microsofts vejledning er, at organisationer, der allerede kører Exchange SE, skal holde systemerne opdaterede, mens CU1 fortsat er under udvikling.

Følg organisationens normale change management-proces. Test opdateringer i repræsentative ikke-produktionsmiljøer, hvor det er muligt, vurder hastigheden ud fra eksponering og risiko, installer den relevante Exchange-sikkerhedspakke, og bekræft derefter, at opdateringen er installeret korrekt.

August-vejledningen understreger desuden, at administratorer bør kontrollere buildnummeret for selve sikkerhedsopdateringen. Det er ikke nødvendigvis tilstrækkeligt kun at se på den underliggende cumulative update-version, som Exchange-værktøjerne viser.

Planlæg CU1 som en separat ændring

En månedlig SU – Security Update – er først og fremmest en løbende sikkerhedsopgave. CU1 bør derimod planlægges som en bredere platformændring, der kan kræve kompatibilitetstest, validering af applikationer, forberedelse af backup og rollback samt mere omfattende regressionstest.

Den skelnen er vigtig. CU1 må ikke blive en undskyldning for at springe den almindelige patching over. De månedlige opdateringer reducerer den aktuelle sikkerhedseksponering, mens CU1 skal samle det ophobede arbejde og introducere den næste større gruppe af ændringer til Exchange SE, når kvalitetskravene er opfyldt. Microsofts roadmap beskriver CU1 som den første Exchange Server SE-udgivelse, der introducerer nye funktioner.

En større lektie om AI og sikkerhedsarbejde

Forsinkelsen illustrerer en grundlæggende spænding i moderne softwareudvikling: AI kan øge hastigheden, hvormed potentielle sårbarheder opdages, men opdagelsen er kun begyndelsen på sikkerhedsarbejdet.

Menneskelige ingeniører skal stadig afgøre, hvad der er reelt, reproducere problemet, udvikle en sikker rettelse og dokumentere, at rettelsen ikke ødelægger funktioner omkring den. Det er grundlæggende positivt for sikkerheden, når flere fejl bliver fundet, før angribere kan udnytte dem. Men det lægger samtidig pres på triage, afhjælpning, kvalitetssikring, test og kommunikation med kunderne.

Abonnementsbaseret software skaber en forventning om forudsigelige leverancer. Sikkerhedsarbejde følger imidlertid ikke altid en kalender – især ikke når nye fund dukker op hurtigere end de kan behandles.

For Exchange-kunder er den mest robuste model derfor todelt: Installer månedlige sikkerhedsopdateringer for at beskytte miljøet, og planlæg CU1 som en separat livscyklus- og platformopdatering, når Microsoft har en stabil udgivelse klar. Den manglende CU1-dato ændrer planlægningen, men ikke behovet for at holde Exchange SE opdateret.