Microsoft Menunda Exchange SE CU1 Tanpa Batas Waktu karena Temuan Keamanan dari AI

Bagi administrator Exchange, pesan praktisnya jelas: jangan menunggu CU1 untuk mengatasi risiko keamanan. Tetap pasang Exchange SE Security Update bulanan, lalu rencanakan penerapan CU1 secara terpisah ketika Microsoft menyatakan build tersebut siap.

Mengapa CU1 ditunda?

Perangkat keamanan berbantuan AI dapat menghasilkan kandidat kerentanan jauh lebih cepat daripada kemampuan tim engineering untuk menyelidikinya. Sebuah laporan bisa saja merupakan kerentanan nyata, positif palsu, atau masalah yang sulit direproduksi secara konsisten.

Jika temuan tersebut terkonfirmasi, engineer masih harus merancang dan menerapkan perbaikan, mengujinya di berbagai bagian basis kode Exchange, serta memastikan perbaikan itu tidak memicu regresi—yakni kerusakan pada fungsi, keandalan, atau kompatibilitas yang sebelumnya berjalan baik. Microsoft mengatakan timnya sedang menjalani seluruh proses tersebut sambil tetap menyiapkan rilis keamanan bulanan.

Dengan demikian, CU1 bukan sekadar paket berisi perubahan yang sudah selesai. Jika dipaksakan sesuai jadwal lama, Microsoft berisiko merilis pembaruan besar yang tidak memuat kerentanan yang baru divalidasi, mengirimkan perbaikan yang belum cukup diuji, atau menimbulkan masalah baru akibat pengujian regresi yang terburu-buru.

Microsoft memilih menunda rilis dan menunggu sampai build mencapai kondisi yang cukup stabil serta tersedia satu bulan tanpa muatan keamanan yang mendesak.

Jadwal rilis berubah bertahap

Perubahan jadwal CU1 berlangsung dalam beberapa tahap:

• Microsoft awalnya membahas rilis CU1 pada paruh pertama tahun kalender 2026.
• Target tersebut kemudian digeser ke paruh kedua 2026.
• Kini Microsoft tidak lagi memberikan target waktu dan menyatakan CU1 masih dalam pengembangan.

Selama penundaan, tim Exchange terus memasukkan muatan keamanan bulanan ke dalam build CU1 internal. Artinya, CU1 nantinya diharapkan memuat pekerjaan keamanan yang diselesaikan selama masa penundaan, bukan menandai berhentinya pemeliharaan keamanan Exchange.

Security Update bulanan tetap tersedia

Penundaan CU1 tanpa tanggal rilis baru bukan berarti pelanggan Exchange SE tidak memperoleh perbaikan keamanan. Microsoft merilis Exchange SE Security Update pada Juni, Juli, dan Agustus 2026.

Mei menjadi pengecualian karena Microsoft mengumumkan tidak ada Exchange Security Update reguler pada bulan tersebut. Setelah itu, Microsoft menerbitkan panduan dan informasi mitigasi untuk CVE-2026-42897. Pada Juli, pelanggan diarahkan untuk menghapus rekomendasi mitigasi tersebut setelah memasang pembaruan yang sesuai.

Rilis Agustus juga memperbaiki CVE-2026-65813, yaitu kerentanan peningkatan hak akses yang memengaruhi Exchange Server Subscription Edition serta beberapa versi Exchange lain yang didukung.

Untuk sebagian besar instalasi lokal, pembaruan Exchange bukan sekadar sesuatu yang otomatis diterima melalui Windows Update. Administrator perlu mengunduh paket SU yang sesuai dan memverifikasi build Security Update setelah pemasangan. Mengandalkan nomor cumulative update dasar yang ditampilkan oleh alat Exchange saja tidak cukup.

Apa yang harus dilakukan administrator?

Tetap pasang setiap Exchange SE Security Update

CU1 tidak boleh dianggap sebagai tenggat keamanan yang dapat ditunggu. Microsoft meminta organisasi yang sudah menggunakan Exchange SE untuk tetap memperbarui sistem selama CU1 masih dikembangkan.

Gunakan proses pengendalian perubahan yang berlaku di organisasi. Jika memungkinkan, uji pembaruan lebih dulu di lingkungan nonproduksi yang mewakili sistem sebenarnya. Setelah itu, nilai urgensi berdasarkan paparan dan risiko, terapkan paket keamanan Exchange yang sesuai, lalu pastikan pembaruan berhasil terpasang.

Perlakukan CU1 sebagai proyek perubahan terpisah

SU bulanan terutama merupakan tindakan operasional untuk mengurangi paparan keamanan saat ini. Sebaliknya, CU1 sebaiknya diperlakukan sebagai perubahan platform yang lebih luas. Rencananya dapat mencakup pengujian kompatibilitas, validasi aplikasi, persiapan pencadangan dan pemulihan, prosedur rollback, serta pemeriksaan regresi yang lebih menyeluruh.

Pemisahan ini membantu mencegah kesalahan perencanaan yang umum: menganggap CU1 sebagai pengganti patch rutin. Pembaruan bulanan berfungsi mengurangi risiko keamanan saat ini, sedangkan CU1 akan mengonsolidasikan pekerjaan yang terkumpul dan memperkenalkan rangkaian perubahan Exchange SE berikutnya setelah memenuhi standar kualitas Microsoft. Roadmap Microsoft menyebut CU1 sebagai pengenalan fitur-fitur baru pertama di Exchange Server SE.

Pelajaran yang lebih luas tentang keamanan berbantuan AI

Penundaan Exchange menunjukkan ketegangan struktural dalam pengembangan perangkat lunak modern. AI dapat mempercepat penemuan kandidat kerentanan, tetapi penemuan hanyalah awal dari proses keamanan. Engineer tetap perlu menentukan apakah masalahnya nyata, mereproduksi perilakunya, membuat perbaikan yang aman, dan membuktikan bahwa perbaikan tersebut tidak merusak fungsi lain.

Dari sisi keamanan, menemukan lebih banyak potensi celah sebelum dieksploitasi penyerang merupakan perkembangan positif. Namun, hal itu juga menambah tekanan pada proses triase, remediasi, jaminan kualitas, rekayasa rilis, dan komunikasi dengan pelanggan.

Perangkat lunak berbasis langganan menciptakan ekspektasi terhadap jadwal pengiriman yang teratur. Sementara itu, pekerjaan keamanan digerakkan oleh temuan yang belum tentu mengikuti kalender rilis. Solusinya bukan mengabaikan temuan atau mempercepat rilis secara sembrono, melainkan memperkuat kapasitas validasi, perbaikan, pengujian otomatis, dan komunikasi.

Bagi pelanggan Exchange, pola operasional yang paling aman tetap berjalan di dua jalur: pasang patch bulanan untuk perlindungan, lalu jadwalkan CU1 untuk konsolidasi siklus hidup dan platform setelah Microsoft menyediakan rilis yang stabil. Tidak adanya tanggal CU1 mengubah perencanaan deployment, tetapi tidak mengubah kewajiban untuk menjaga Exchange SE tetap mutakhir.