Exchange SE CU1 bleibt auf unbestimmte Zeit verschoben

Microsoft hat das erste kumulative Update für die Exchange Server Subscription Edition, CU1, erneut verschoben. Einen neuen Veröffentlichungstermin nennt das Unternehmen nicht. Ursprünglich war der Release für die erste Hälfte des Kalenderjahres 2026 vorgesehen, später für die zweite Jahreshälfte. Nun befindet sich CU1 auf unbestimmte Zeit in Entwicklung.

Der Grund ist ein größer als erwarteter Arbeitsaufwand rund um Sicherheitsfunde, die unter anderem durch KI-gestützte Recherche und automatisierte Scans ans Licht gekommen sind. Ein solcher Fund ist zunächst nur ein Kandidat: Microsoft muss prüfen, ob tatsächlich eine Sicherheitslücke vorliegt, das Verhalten reproduzieren, eine sichere Korrektur entwickeln, diese testen und anschließend mögliche Regressionen ausschließen.

Für Exchange-Administratoren ist die wichtigste Konsequenz eindeutig: Nicht auf CU1 warten, um Sicherheitsrisiken zu reduzieren. Die monatlichen Exchange-SE-Sicherheitsupdates sollten weiterhin zeitnah installiert werden. CU1 ist anschließend als eigenständiges, umfangreicheres Änderungsprojekt einzuplanen.

Warum sich CU1 verzögert

KI-gestützte Sicherheitstools können potenzielle Schwachstellen deutlich schneller melden, als Entwicklungsteams sie untersuchen und beheben können. Dabei kann sich eine Meldung als echte Sicherheitslücke, als Fehlalarm oder als Problem erweisen, das sich nur schwer zuverlässig reproduzieren lässt.

Wird ein Problem bestätigt, folgen mehrere Schritte:

• technische Reproduktion des Fehlers,
• Entwicklung und Implementierung eines Fixes,
• Tests im umfangreichen Exchange-Codebestand,
• Prüfung auf Nebenwirkungen und Regressionen,
• Vorbereitung und Veröffentlichung eines Sicherheitsupdates.

Microsoft erklärt, dass seine Teams diese Aufgaben parallel zur monatlichen Update-Produktion abarbeiten. Dazu gehört ausdrücklich die Validierung gemeldeter Probleme, ihre Reproduktion, die Entwicklung von Korrekturen, das Testen nach der Fehlerbehebung und die anschließende Veröffentlichung.

CU1 ist deshalb nicht bloß ein Paket bereits abgeschlossener Änderungen. Ein Release nach Kalender hätte Microsoft vor die Wahl gestellt, neu bestätigte Schwachstellen aus dem kumulativen Update herauszuhalten, unzureichend getestete Fixes auszuliefern oder den Termin zu verschieben. Microsoft hat sich für die Verschiebung entschieden. Nach Angaben des Exchange-Teams soll CU1 erscheinen, sobald ein ausreichend stabiler Stand erreicht ist und ein Monat ohne dringende sicherheitsrelevante Inhalte zur Verfügung steht.

Der Zeitplan wurde mehrfach nach hinten korrigiert

Die Planung hat sich schrittweise verändert:

• Zunächst war CU1 für die erste Hälfte des Kalenderjahres 2026 vorgesehen.
• Danach verschob Microsoft das Ziel auf die zweite Hälfte des Jahres 2026.
• Inzwischen gibt es überhaupt keinen Zieltermin mehr. CU1 wird weiterhin entwickelt.

Währenddessen übernimmt Microsoft die monatlichen Sicherheitspakete fortlaufend in den internen CU1-Build. Das spätere kumulative Update soll damit auch die Sicherheitsarbeit enthalten, die während der Verzögerung abgeschlossen wurde. Die Verschiebung bedeutet also keinen Stillstand bei der Exchange-Sicherheitswartung.

Sicherheitsupdates erscheinen weiterhin monatlich

Die Verzögerung von CU1 bedeutet nicht, dass Kunden der Exchange Subscription Edition ohne Sicherheitskorrekturen bleiben. Microsoft veröffentlichte Security Updates (SUs) für Exchange SE im Juni, Juli und August 2026.

Im Mai gab es dagegen kein reguläres Exchange-Sicherheitsupdate. Microsoft veröffentlichte jedoch Hinweise und eine Mitigation für die am 14. Mai bekannt gewordene Schwachstelle CVE-2026-42897. Mit dem Juli-Update konnte die Empfehlung zur Beibehaltung dieser Gegenmaßnahme wieder entfallen.

Das August-Update behob außerdem CVE-2026-65813, eine Schwachstelle zur Rechteerhöhung, die unter anderem Exchange Server Subscription Edition betrifft.

Was Administratoren jetzt tun sollten

Monatliche SUs weiter einspielen

CU1 sollte nicht als Sicherheitsdeadline betrachtet werden. Microsoft empfiehlt Organisationen, die bereits Exchange SE einsetzen, während der Entwicklung von CU1 auf dem aktuellen Stand zu bleiben.

In der Praxis bedeutet das:

1. Sicherheitsupdates nach Möglichkeit zunächst in repräsentativen Nicht-Produktivumgebungen testen.
2. Dringlichkeit anhand von Exponierung, Schutzbedarf und Unternehmensrisiko bewerten.
3. Das passende Exchange-Sicherheitspaket über den etablierten Change-Control-Prozess ausrollen.
4. Nach der Installation prüfen, ob tatsächlich der erwartete Security-Update-Build aktiv ist.

Gerade beim August-Update weist Microsoft darauf hin, dass Administratoren den Build des Sicherheitsupdates kontrollieren sollten. Die zugrunde liegende kumulative Exchange-Version, die bestimmte Exchange-Tools anzeigen, reicht dafür nicht unbedingt aus.

CU1 als separates Änderungsprojekt planen

Ein monatliches SU ist in erster Linie eine operative Sicherheitsmaßnahme. CU1 sollte dagegen wie ein größeres Plattform- und Lifecycle-Projekt behandelt werden. Dazu gehören je nach Umgebung Kompatibilitätstests, die Validierung angebundener Anwendungen, eine Backup- und Rollback-Planung sowie umfassendere Regressionstests.

Auch die von Manoj Chandra Jha, Principal Analyst bei Nord-IQ Research, wiedergegebene Einordnung folgt diesem Zwei-Spuren-Modell: Monatliche Updates bilden die operative Sicherheitsbasis, während CU1 als separates Change-Management-Ereignis für Plattformkonsolidierung und neue Funktionen betrachtet werden sollte.

Damit lässt sich ein häufiger Planungsfehler vermeiden: CU1 darf nicht als Ersatz für die laufende Patchroutine dienen. Monatliche SUs reduzieren die aktuelle Angriffsfläche. CU1 soll dagegen die bis dahin abgeschlossene Arbeit bündeln und die nächste größere Gruppe von Exchange-SE-Änderungen einführen. Microsoft beschreibt CU1 als erste Exchange-SE-Version mit neuen Funktionen.

Das grundsätzliche Spannungsfeld bei KI-gestützter Sicherheitsarbeit

Die Verzögerung zeigt ein strukturelles Problem moderner Softwareentwicklung: KI kann die Zahl potenzieller Sicherheitsfunde erhöhen, doch ihre Entdeckung ist erst der Anfang. Menschen müssen weiterhin entscheiden, welche Meldungen real und relevant sind, das Verhalten nachvollziehen, eine sichere Behebung entwickeln und sicherstellen, dass der Fix keine anderen Funktionen beeinträchtigt.

Das ist zunächst ein positives Sicherheitsproblem. Je mehr Schwachstellen vor ihrer Ausnutzung entdeckt werden, desto besser können Produkte geschützt werden. Gleichzeitig steigt aber der Druck auf Triage, Entwicklung, Qualitätssicherung, Release-Engineering und Kundenkommunikation.

Bei Abonnementsoftware erwarten Kunden regelmäßige und planbare Veröffentlichungen. Sicherheitsarbeit richtet sich jedoch nach den Funden, die tatsächlich auftauchen, und passt daher nicht immer in einen festen Kalender. Die Exchange-Situation macht sichtbar, dass KI-gestützte Erkennung allein nicht genügt: Auch die Kapazitäten für Validierung, Behebung und Tests müssen mitwachsen.

Für Exchange-Kunden bleibt deshalb ein zweigleisiges Vorgehen sinnvoll: monatlich patchen, um die Umgebung zu schützen, und CU1 später als stabile Plattform- und Lifecycle-Änderung einplanen. Dass Microsoft derzeit kein Datum nennen kann, verändert die Deployment-Planung – nicht aber die Pflicht, Exchange SE aktuell zu halten.