Microsoft utsetter Exchange SE CU1 på ubestemt tid etter AI-funn av flere sikkerhetshull

CU1 er dermed mer enn en pakke med ferdig arbeid som bare venter på publisering. En lansering etter den opprinnelige tidsplanen kunne ha betydd at nyvaliderte sårbarheter ble stående utenfor, at løsninger ble hastet gjennom uten tilstrekkelig regresjonstesting, eller at selve lanseringen måtte utsettes likevel. Microsoft har valgt å vente og sier at CU1 skal komme når bygget har nådd et rimelig stabilt punkt, og det finnes en måned uten en presserende sikkerhetsleveranse.

Planen har blitt endret flere ganger

Tidsplanen har flyttet seg trinnvis:

• Microsoft omtalte opprinnelig CU1 som en oppdatering for første halvdel av kalenderåret 2026.
• Målet ble senere flyttet til andre halvdel av 2026.
• Nå oppgir Microsoft ingen dato og sier at CU1 fortsatt er under utvikling.

Exchange-teamet legger samtidig de månedlige sikkerhetsleveransene inn i det interne CU1-bygget. Den fremtidige samleoppdateringen skal dermed inneholde sikkerhetsarbeidet som blir ferdigstilt mens lanseringen er utsatt. Forsinkelsen betyr ikke at sikkerhetsvedlikeholdet er satt på pause.

Sikkerhetsoppdateringene kommer fortsatt

At CU1 er utsatt på ubestemt tid, betyr ikke at Exchange SE-kunder står uten sikkerhetsfikser. Microsoft publiserte sikkerhetsoppdateringer for Exchange SE i juni, juli og august 2026.

Mai var et unntak. Microsoft varslet at det ikke ville komme noen ordinær Exchange-sikkerhetsoppdatering den måneden. Senere publiserte selskapet veiledning og informasjon om risikoreduserende tiltak for CVE-2026-42897. I juli viste Microsoft til den nye oppdateringen som tidspunktet da anbefalingen om å beholde tiltaket kunne fjernes.

Augustoppdateringen håndterte også CVE-2026-65813, en sårbarhet som kan gi angripere høyere rettigheter. Den berører blant annet Exchange Server Subscription Edition.

Dette bør administratorer gjøre nå

Installer hver månedlige SU

CU1 bør ikke behandles som en sikkerhetsfrist som virksomheten kan vente på. Microsoft anbefaler at organisasjoner som allerede kjører Exchange SE, holder systemene oppdatert mens CU1 fortsatt er under utvikling.

Følg virksomhetens normale endringskontroll: Test oppdateringene i representative ikke-produksjonsmiljøer når det er mulig, vurder hvor raskt de må installeres ut fra eksponering og risiko, distribuer riktig Exchange-sikkerhetspakke og kontroller at installasjonen er vellykket.

Augustveiledningen understreker også at administratorer bør kontrollere selve sikkerhetsoppdateringsbygget. Det er ikke alltid nok å se på den underliggende kumulative oppdateringsversjonen som Exchange-verktøy viser.

Planlegg CU1 som en separat endring

En månedlig sikkerhetsoppdatering er først og fremst et løpende sikkerhetstiltak. CU1 bør planlegges som en bredere plattformendring, med testing av kompatibilitet og applikasjoner, forberedelser for sikkerhetskopiering og tilbakerulling samt grundigere regresjonstesting.

Dette skillet hindrer en vanlig planleggingsfeil: å behandle CU1 som en erstatning for ordinær patching. De månedlige oppdateringene reduserer dagens sikkerhetseksponering. CU1 skal samle opp ferdigstilt arbeid og introdusere den neste større pakken med endringer i Exchange SE når kvalitetskravene er oppfylt. Microsofts veikart beskriver CU1 som den første introduksjonen av nye funksjoner i Exchange Server SE.

En større lærepenge om AI og sikkerhetsarbeid

Forsinkelsen illustrerer en grunnleggende spenning i moderne programvareutvikling. AI-assistert oppdagelse kan øke strømmen av mulige sårbarheter, men oppdagelsen er bare starten på sikkerhetsarbeidet. Menneskelige ingeniører må fortsatt avgjøre hva som er reelt, gjenskape problemet, lage en trygg løsning og dokumentere at løsningen ikke ødelegger annen funksjonalitet.

Det er i utgangspunktet et positivt sikkerhetsproblem: Flere svakheter kan bli funnet før angripere rekker å utnytte dem. Samtidig øker presset på prioritering, feilretting, kvalitetssikring, utgivelsesprosesser og kundekommunikasjon. Abonnementsbasert programvare skaper forventninger om forutsigbare leveranser, mens sikkerhetsarbeid drives av funn som ikke alltid passer inn i en kalender.

For Exchange-kunder er den praktiske modellen derfor todelt: Installer sikkerhetsoppdateringer hver måned, og planlegg CU1 som en egen livssyklus- og plattformendring når Microsoft leverer en stabil versjon. Mangelen på en CU1-dato endrer planleggingen av oppgraderingen, men ikke behovet for å holde Exchange SE oppdatert.