Exchange Server SE CU1 è rinviato senza una nuova data: cosa devono fare gli amministratori

Di conseguenza, CU1 non è più soltanto un contenitore per modifiche già completate. Rilasciarlo secondo il calendario iniziale avrebbe potuto significare escludere dal pacchetto vulnerabilità appena validate, accelerare correzioni non ancora sottoposte a test sufficienti oppure rimandare comunque il rilascio dopo aver individuato problemi nelle verifiche finali.

Microsoft ha scelto di attendere. Il piano è pubblicare CU1 quando la build raggiungerà un livello ragionevole di stabilità e si presenterà un mese senza un intervento di sicurezza urgente da integrare.

La roadmap è cambiata più volte

La pianificazione di CU1 si è spostata in tre fasi:

• inizialmente Microsoft indicava la prima metà dell’anno solare 2026;
• in seguito l’obiettivo è stato spostato alla seconda metà del 2026;
• oggi non esiste una data obiettivo e l’aggiornamento risulta ancora in sviluppo.

Nel frattempo, il team Exchange continua a integrare i payload di sicurezza mensili nella build interna di CU1. Il futuro aggiornamento cumulativo dovrebbe quindi includere il lavoro di sicurezza completato durante il rinvio, non rappresentare una sospensione della manutenzione di Exchange.

Gli aggiornamenti di sicurezza mensili continuano

Il rinvio di CU1 non significa che i clienti di Exchange SE siano rimasti senza correzioni di sicurezza. Microsoft ha pubblicato Security Update per Exchange SE a giugno, luglio e agosto 2026.

Maggio ha fatto eccezione: per quel mese non era previsto un Security Update ordinario per le versioni supportate di Exchange. Microsoft ha tuttavia pubblicato indicazioni e informazioni sulla mitigazione relativa a CVE-2026-42897, indirizzando poi i clienti all’aggiornamento di luglio per rimuovere la raccomandazione di mantenere la mitigazione.

Il rilascio di agosto ha inoltre corretto CVE-2026-65813, una vulnerabilità di elevazione dei privilegi che interessa Exchange Server Subscription Edition, oltre ad altre versioni supportate di Exchange.

Cosa devono fare ora gli amministratori

Installare ogni Security Update mensile

CU1 non deve essere considerato una scadenza di sicurezza. Le organizzazioni che utilizzano Exchange SE devono mantenere il sistema aggiornato con i SU mensili mentre il primo aggiornamento cumulativo resta in sviluppo.

È consigliabile seguire il normale processo aziendale di gestione delle modifiche:

1. testare l’aggiornamento in ambienti non di produzione rappresentativi, quando possibile;
2. valutare urgenza, esposizione e rischio;
3. distribuire il pacchetto di sicurezza corretto per la versione in uso;
4. verificare che l’installazione sia andata a buon fine.

Le indicazioni di agosto sottolineano anche l’importanza di controllare la build del Security Update, senza affidarsi soltanto alla versione del cumulative update di base mostrata dagli strumenti di Exchange.

Pianificare CU1 come un evento separato

Un SU mensile è soprattutto un’attività operativa di sicurezza. CU1, invece, dovrebbe essere trattato come un intervento più ampio sulla piattaforma, con test di compatibilità, validazione delle applicazioni, preparazione di backup e procedure di ripristino, oltre a verifiche di regressione più estese.

La distinzione evita un errore di pianificazione frequente: considerare CU1 un sostituto del patching ordinario. Gli aggiornamenti mensili riducono l’esposizione alle minacce attuali; CU1 consoliderà il lavoro accumulato e introdurrà il primo insieme di nuove funzionalità di Exchange Server Subscription Edition quando raggiungerà il livello qualitativo richiesto.

La lezione più ampia sull’IA nella sicurezza

Il caso Exchange mostra una tensione destinata a diventare sempre più comune nello sviluppo software. L’IA può aumentare il numero di potenziali vulnerabilità individuate, ma la scoperta è soltanto l’inizio. Servono ancora ingegneri capaci di stabilire cosa sia reale, riprodurre il problema, sviluppare una correzione sicura e dimostrare che la soluzione non comprometta le funzioni circostanti.

Dal punto di vista della sicurezza, trovare più difetti prima che vengano sfruttati è un risultato positivo. Ma l’aumento delle segnalazioni mette sotto pressione triage, correzione, garanzia della qualità, automazione dei test, gestione dei rilasci e comunicazione con i clienti.

Il software in abbonamento crea aspettative di consegne frequenti e prevedibili, mentre la sicurezza dipende da problemi che possono emergere senza rispettare un calendario. Per i clienti Exchange, la strategia più solida resta quindi articolata su due binari: aggiornare ogni mese per la protezione e programmare CU1 per il consolidamento della piattaforma, quando Microsoft pubblicherà una versione stabile.

L’assenza di una data per CU1 modifica la pianificazione dei deployment, ma non cambia la necessità di mantenere Exchange Server Subscription Edition aggiornato.