AI가 찾아낸 보안 취약점에 발목 잡힌 Microsoft, Exchange SE CU1 출시 무기한 연기

따라서 CU1은 이미 끝난 변경 사항을 한데 묶는 단순한 패키지가 아니다. 새로 확인된 취약점을 누적 업데이트에 반영하려면 충분한 검증 시간이 필요하다. 검증이 끝나지 않은 상태에서 출시를 강행할 경우, 새로 확인된 문제를 포함하지 못하거나, 테스트가 부족한 수정 사항을 서둘러 배포하거나, 수정 과정에서 다른 장애를 만들 위험이 있다. Microsoft는 이 같은 선택 대신 출시를 늦추기로 했다. 회사는 빌드가 합리적으로 안정화되고 긴급한 보안 업데이트 부담이 없는 한 달이 확보되면 CU1을 출시할 계획이라고 밝혔다.

출시 일정은 어떻게 바뀌었나

CU1 일정은 단계적으로 뒤로 밀렸다.

• 처음에는 2026년 상반기 출시가 거론됐다.
• 이후 목표 시점이 2026년 하반기로 변경됐다.
• 현재 Microsoft는 목표 날짜를 제시하지 않고 있으며, CU1이 여전히 개발 중이라고 밝히고 있다.

그렇다고 CU1 개발이 멈춘 것은 아니다. Exchange 팀은 매월 배포하는 보안 수정 사항을 내부 CU1 빌드에 계속 통합하고 있다. 최종적으로 출시될 CU1에는 연기 기간 동안 완료된 보안 작업도 포함될 예정이다.

Microsoft의 로드맵에 따르면 CU1은 Exchange Server Subscription Edition에 새로운 기능이 처음 도입되는 업데이트이기도 하다. 따라서 일반적인 월별 보안 패치보다 범위가 넓은 플랫폼 변경 작업으로 보는 편이 적절하다.

보안 업데이트는 계속 제공되고 있다

CU1 출시가 무기한 연기됐다고 해서 Exchange SE 고객이 보안 수정 없이 방치된 것은 아니다. Microsoft는 2026년 6월, 7월, 8월에 Exchange SE용 Security Update를 각각 배포했다.

5월에는 정기 Exchange Security Update가 제공되지 않았다. 다만 Microsoft는 이후 CVE-2026-42897에 대한 대응 지침과 완화 조치를 발표했고, 7월 업데이트를 설치하면 해당 완화 조치를 해제할 수 있다고 안내했다.

8월 업데이트에는 권한 상승 취약점인 CVE-2026-65813에 대한 수정도 포함됐다. 이 취약점은 Exchange Server Subscription Edition을 비롯해 지원되는 일부 Exchange 버전에 영향을 줬다.

특히 온프레미스 Exchange 환경에서는 일반적인 Windows Update만으로 해결되지 않을 수 있다. 관리자는 환경에 맞는 Exchange 보안 업데이트 패키지를 직접 적용하고, 설치 후에는 기본 누적 업데이트 버전만 확인하지 말고 실제 보안 업데이트 빌드가 반영됐는지 확인해야 한다.

Exchange 관리자가 지금 해야 할 일

매월 Exchange SE 보안 업데이트를 계속 적용하라

CU1을 기다리는 것은 보안 대응 전략이 될 수 없다. Exchange SE를 운영 중인 조직은 Microsoft가 제공하는 월별 SU를 계속 최신 상태로 유지해야 한다.

기업의 일반적인 변경 관리 절차에 따라 다음과 같이 진행하는 것이 바람직하다.

1. 가능한 경우 대표적인 비운영 환경에서 업데이트를 사전 테스트한다.
2. 외부 노출 정도와 업무 중요도를 기준으로 적용 우선순위를 정한다.
3. 해당 Exchange 버전에 맞는 보안 업데이트 패키지를 배포한다.
4. 설치가 정상적으로 완료됐는지와 보안 업데이트 빌드가 실제로 반영됐는지 확인한다.

CU1은 별도의 변경 이벤트로 준비하라

월별 SU는 현재의 보안 노출을 줄이기 위한 정기 운영 작업이다. 반면 CU1은 새로운 기능과 누적된 플랫폼 변경 사항을 포함할 수 있으므로 더 큰 규모의 변경 관리 이벤트로 준비해야 한다.

이를 위해 조직은 다음 항목을 별도로 검토할 필요가 있다.

• 사내 애플리케이션 및 연동 시스템과의 호환성
• 메일 흐름과 주요 업무 기능 검증
• 백업 및 롤백 계획
• 비운영 환경과 운영 환경에서의 회귀 테스트
• 배포 이후 모니터링과 장애 대응 절차

핵심은 두 업데이트를 같은 것으로 취급하지 않는 것이다. 월별 SU는 보안을 위한 정기 패치이고, CU1은 수명 주기 관리와 플랫폼 통합을 위한 별도 업그레이드다. CU1이 그동안의 보안 수정 사항을 포함하더라도, 월별 패치를 대신해 주는 것은 아니다.

AI가 발견한 취약점과 사람이 처리할 수 있는 속도의 간극

이번 사례는 AI 기반 보안 탐지가 소프트웨어 개발 과정에 어떤 새로운 부담을 가져오는지 보여준다. AI는 잠재적인 결함을 빠르게 찾아낼 수 있지만, 발견은 보안 대응의 출발점일 뿐이다.

사람이 실제 취약점 여부를 판단하고, 문제를 재현하고, 안전한 수정 방안을 마련하고, 수정 사항이 기존 기능을 깨뜨리지 않는다는 점까지 입증해야 한다. 이 과정이 충분하지 않으면 보안 문제를 해결하려던 업데이트가 새로운 장애나 호환성 문제를 만들 수 있다.

더 많은 취약점을 공격자가 악용하기 전에 발견한다는 점에서 AI 보안 탐지는 긍정적인 변화다. 그러나 탐지 속도가 검증·수정·품질 보증 역량을 앞서가면, 개발팀에는 처리해야 할 보고가 쌓이고 출시 일정에는 압박이 생긴다.

구독형 소프트웨어 고객은 정기적이고 예측 가능한 업데이트를 기대한다. 반면 보안 작업은 새로 발견되는 문제의 규모와 심각도에 따라 일정이 달라질 수밖에 없다. 이번 Exchange CU1 연기는 바로 이 두 기대가 충돌한 사례다.

Exchange 고객에게 필요한 운영 방식은 결국 두 갈래다. 보호를 위해 매월 보안 업데이트를 적용하고, CU1은 안정적인 출시 일정이 공개된 뒤 별도의 플랫폼 변경 작업으로 계획하는 것이다. CU1의 출시일이 사라졌다는 사실은 배포 계획을 바꾸지만, Exchange SE를 최신 보안 상태로 유지해야 한다는 원칙까지 바꾸지는 않는다.