Microsoft geeft Exchange SE CU1 opnieuw geen releasedatum

Voor Exchange-beheerders is de praktische boodschap helder: wacht niet op CU1 om beveiligingsrisico’s aan te pakken. Blijf de maandelijkse Exchange SE Security Updates installeren en plan CU1 later als een aparte wijziging zodra Microsoft de update stabiel genoeg vindt.

Waarom CU1 is uitgesteld

AI-ondersteunde beveiligingstools kunnen in korte tijd veel mogelijke kwetsbaarheden aanwijzen. Dat betekent echter niet dat iedere melding direct een bevestigd beveiligingslek is. Engineers moeten eerst vaststellen of het probleem echt bestaat, het gedrag reproduceren en bepalen hoe het veilig kan worden verholpen.

Na de reparatie moet Microsoft controleren of de oplossing geen nieuwe problemen veroorzaakt in de omvangrijke Exchange-codebasis. Ook moeten de fixes worden getest en gecontroleerd op regressies. Tegelijkertijd moet het Exchange-team de maandelijkse beveiligingsreleases blijven voorbereiden.

CU1 is daardoor meer dan een bundel van al afgeronde wijzigingen. Een release volgens de oorspronkelijke planning had kunnen betekenen dat nieuw bevestigde kwetsbaarheden buiten de cumulatieve update bleven, dat oplossingen te weinig waren getest of dat er nieuwe stabiliteits- en compatibiliteitsproblemen ontstonden. Microsoft kiest daarom voor uitstel en wil CU1 pas uitbrengen wanneer de build een redelijk stabiel punt heeft bereikt én er een maand is zonder een urgente beveiligingslading.

De planning verschoof stap voor stap

De planning veranderde als volgt:

• Microsoft mikte aanvankelijk op de eerste helft van kalenderjaar 2026.
• Daarna werd het doel verschoven naar de tweede helft van 2026.
• Inmiddels noemt Microsoft geen doelmaand of doelperiode meer. CU1 is nog steeds in ontwikkeling.

De Exchange-teams verwerken de maandelijkse beveiligingsupdates ondertussen wel in hun interne CU1-build. De uiteindelijke cumulatieve update moet daardoor het beveiligingswerk uit de uitstelperiode bevatten. Het uitstel betekent dus niet dat Microsoft is gestopt met het onderhouden van Exchange SE.

Maandelijkse beveiligingsupdates blijven verschijnen

Klanten van Exchange SE zitten ondanks het uitstel niet zonder beveiligingspatches. Microsoft bracht in juni, juli en augustus 2026 Security Updates voor Exchange Server uit.

Mei vormde een uitzondering: voor die maand kondigde Microsoft geen reguliere Exchange Security Update aan. Na de bekendmaking van CVE-2026-42897 volgden wel advies en informatie over mitigerende maatregelen. Met de update van juli kon de aanbeveling om die maatregel actief te houden worden ingetrokken.

De update van augustus verhelpt onder meer CVE-2026-65813, een kwetsbaarheid waarmee aanvallers hun rechten kunnen verhogen. Het probleem raakte Exchange Server Subscription Edition en andere ondersteunde Exchange-versies.

Wat Exchange-beheerders nu moeten doen

Installeer iedere maand de actuele Security Update

CU1 moet niet worden gezien als een beveiligingsdeadline waarop organisaties kunnen wachten. Microsoft adviseert organisaties die al op Exchange SE draaien om hun omgeving bijgewerkt te houden terwijl CU1 verder wordt ontwikkeld.

Volg daarbij de gebruikelijke change-controlprocedure. Test updates waar mogelijk eerst in representatieve niet-productieomgevingen, beoordeel de urgentie op basis van blootstelling en risico, installeer het bijbehorende Exchange-beveiligingspakket en controleer daarna of de installatie daadwerkelijk is geslaagd.

De richtlijnen van augustus benadrukken bovendien dat beheerders moeten controleren welke Security Update-build is geïnstalleerd. Alleen afgaan op het onderliggende cumulative-update-nummer dat Exchange-tools tonen, kan onvoldoende zijn.

Behandel CU1 als een afzonderlijk wijzigingstraject

Een maandelijkse Security Update is in de eerste plaats een operationele beveiligingsmaatregel. CU1 is een bredere platformrelease. Daarvoor zijn waarschijnlijk ruimere compatibiliteitstests, validatie van gekoppelde applicaties, voorbereiding van back-ups en terugvalscenario’s en extra regressietests nodig.

Dat onderscheid voorkomt een veelgemaakte planningsfout: CU1 beschouwen als vervanging voor reguliere patchrondes. Maandelijkse updates beperken de actuele beveiligingsrisico’s. CU1 bundelt later het verzamelde werk en vormt volgens Microsoft de eerste Exchange SE-release met nieuwe functies.

Wat dit zegt over AI en softwareontwikkeling

De vertraging laat een bredere spanning zien in moderne softwareontwikkeling. AI kan sneller mogelijke kwetsbaarheden opsporen dan menselijke teams ze kunnen onderzoeken en oplossen. Dat is vanuit beveiligingsoogpunt positief: meer problemen kunnen worden gevonden voordat aanvallers ze misbruiken.

Maar detectie is pas het begin. Mensen moeten bepalen wat echt is, het probleem reproduceren, een veilige oplossing ontwerpen, die oplossing testen en aantonen dat bestaande functionaliteit niet wordt beschadigd. Daardoor ontstaat druk op triage, engineering, kwaliteitscontrole, releasebeheer en communicatie met klanten.

Bij abonnementssoftware verwachten klanten bovendien een voorspelbare leveringsplanning. Beveiligingswerk laat zich echter niet altijd netjes in een kalender persen. De keuze om een update uit te stellen kan daarom verstandiger zijn dan een cumulatieve release uitbrengen met onvoldoende geteste oplossingen.

Voor Exchange-klanten blijft een tweesporenaanpak het meest logisch: maandelijks patchen voor bescherming en CU1 later plannen als een afzonderlijke lifecycle- en platformrelease. Het ontbreken van een datum verandert de deploymentplanning, maar niet de noodzaak om Exchange SE actueel te houden.