Exchange Server SE CU1 bez daty premiery. Microsoft najpierw łata luki znalezione przez AI

Microsoft bezterminowo opóźnił pierwszą zbiorczą aktualizację dla Exchange Server Subscription Edition, czyli Exchange SE CU1. Początkowo aktualizacja miała zostać wydana w pierwszej połowie 2026 roku, później termin przesunięto na drugą połowę roku. Teraz Microsoft nie podaje już żadnej daty premiery.

Powodem jest większy od oczekiwanego zakres prac związanych z lukami wykrytymi przy wsparciu narzędzi AI. Każde zgłoszenie trzeba najpierw zweryfikować, odtworzyć, naprawić, przetestować i sprawdzić pod kątem regresji, zanim bezpiecznie trafi do zbiorczej aktualizacji.

Dla administratorów Exchange najważniejszy wniosek jest prosty: nie należy czekać na CU1, aby ograniczyć ryzyko bezpieczeństwa. Comiesięczne aktualizacje Exchange SE Security Updates trzeba nadal wdrażać zgodnie z firmową procedurą, a CU1 zaplanować osobno, gdy Microsoft uzna kompilację za gotową.

Dlaczego CU1 zostało opóźnione

Narzędzia wykorzystujące AI potrafią wyszukiwać potencjalne podatności szybciej, niż zespoły inżynierskie są w stanie je przeanalizować. Nie każde zgłoszenie oznacza jednak rzeczywistą lukę. Część wyników może być fałszywym alarmem, a inne problemy wymagają dodatkowej pracy, aby dało się je wiarygodnie odtworzyć.

Jeśli podatność zostanie potwierdzona, inżynierowie muszą przygotować poprawkę, przetestować ją w dużej bazie kodu Exchange, sprawdzić jej wpływ na niezawodność i zgodność oraz wykonać testy regresji. Microsoft poinformował, że jego zespoły równolegle weryfikują zgłoszenia, odtwarzają problemy, przygotowują poprawki, testują je i nadal wydają aktualizacje co miesiąc.

W efekcie CU1 nie jest już tylko paczką wcześniej ukończonych zmian. Wydanie aktualizacji zgodnie z pierwotnym harmonogramem mogłoby oznaczać pominięcie świeżo potwierdzonych luk, zbyt szybkie wdrożenie niedostatecznie sprawdzonych poprawek albo ryzyko pojawienia się problemów z działaniem Exchange.

Microsoft wybrał opóźnienie i zapowiada wydanie CU1 dopiero wtedy, gdy kompilacja osiągnie rozsądny poziom stabilności, a w harmonogramie pojawi się miesiąc bez pilnego pakietu zabezpieczeń.

Jak zmieniał się harmonogram

Plan wydawniczy zmieniał się etapami:

• początkowo Microsoft wskazywał pierwszą połowę 2026 roku,
• później termin przesunięto na drugą połowę 2026 roku,
• obecnie firma nie podaje żadnego terminu i informuje, że CU1 wciąż jest rozwijane.

Zespół Exchange nadal dodaje comiesięczne poprawki bezpieczeństwa do wewnętrznej kompilacji CU1. Oznacza to, że przyszła aktualizacja zbiorcza ma uwzględniać prace wykonane w czasie opóźnienia, a nie oznaczać przerwy w utrzymaniu bezpieczeństwa Exchange.

CU1 ma być także pierwszą aktualizacją Exchange Server SE wprowadzającą nowe funkcje.

Aktualizacje zabezpieczeń nadal są wydawane

Bezterminowe opóźnienie CU1 nie oznacza, że użytkownicy Exchange SE pozostali bez poprawek bezpieczeństwa. Microsoft wydał aktualizacje Security Updates dla Exchange SE w czerwcu, lipcu i sierpniu 2026 roku.

Maj był wyjątkiem — firma zapowiedziała wówczas brak regularnej aktualizacji zabezpieczeń dla Exchange. Później opublikowała zalecenia i informacje o ograniczeniu ryzyka dotyczące CVE-2026-42897. W lipcu Microsoft wskazał aktualizację jako moment, po którym można było usunąć zalecane wcześniej zabezpieczenie ograniczające ryzyko.

Sierpniowe wydanie naprawiło również CVE-2026-65813 — lukę umożliwiającą podniesienie uprawnień, dotyczącą między innymi Exchange Server Subscription Edition.

W przypadku wdrożeń lokalnych administratorzy powinni pamiętać, że te poprawki nie są zwykle dostarczane przez Windows Update. Trzeba pobrać właściwy pakiet Exchange Security Update, a po instalacji zweryfikować numer kompilacji aktualizacji zabezpieczeń. Sam numer bazowej aktualizacji zbiorczej wyświetlany przez narzędzia Exchange może nie wystarczyć.

Co administratorzy powinni zrobić teraz

Instalować każde miesięczne Security Update

CU1 nie powinno być traktowane jako termin bezpieczeństwa, na który można czekać. Microsoft zaleca organizacjom korzystającym z Exchange SE utrzymywanie systemu na bieżąco także wtedy, gdy CU1 pozostaje w fazie prac.

W praktyce warto stosować standardowy proces zarządzania zmianą:

1. przetestować aktualizację w reprezentatywnym środowisku nieprodukcyjnym, jeśli jest to możliwe,
2. ocenić pilność wdrożenia w odniesieniu do ekspozycji i ryzyka,
3. zainstalować właściwy pakiet Exchange Security Update,
4. potwierdzić, że aktualizacja została poprawnie zastosowana.

Zaplanować CU1 jako osobne wdrożenie

Miesięczne SU jest przede wszystkim operacyjnym działaniem bezpieczeństwa. CU1 należy traktować jako większe wydarzenie platformowe i zmianę wymagającą testów zgodności, sprawdzenia aplikacji współpracujących z Exchange, przygotowania kopii zapasowych i planu wycofania oraz szerszych testów regresji.

Takie rozdzielenie pozwala uniknąć częstego błędu planistycznego: uznania CU1 za zamiennik regularnego patchowania. Comiesięczne aktualizacje zmniejszają bieżącą ekspozycję na zagrożenia, natomiast CU1 ma skonsolidować zgromadzone prace i wprowadzić kolejny zestaw zmian w Exchange SE, gdy osiągnie wymagany poziom jakości.

Szersza lekcja z opóźnienia Exchange

Przypadek Exchange pokazuje napięcie wpisane w nowoczesny proces tworzenia oprogramowania. AI może zwiększyć liczbę potencjalnych luk wykrywanych po stronie obronnej, ale samo znalezienie problemu to dopiero początek. Ludzie nadal muszą ustalić, czy podatność jest rzeczywista, odtworzyć jej działanie, przygotować bezpieczną poprawkę i udowodnić, że nie uszkodzi ona innych funkcji.

To z punktu widzenia bezpieczeństwa pozytywny problem — więcej luk można znaleźć, zanim wykorzystają je napastnicy. Jednocześnie rośnie obciążenie zespołów odpowiedzialnych za analizę, naprawy, kontrolę jakości, testy i planowanie wydań. Oprogramowanie subskrypcyjne buduje oczekiwanie przewidywalnych aktualizacji, podczas gdy prace nad bezpieczeństwem często wynikają z odkryć, których nie da się dopasować do z góry ustalonego kalendarza.

Dla klientów Exchange najbardziej praktyczny pozostaje więc model dwutorowy: co miesiąc instalować poprawki bezpieczeństwa, a CU1 zaplanować jako osobne wdrożenie cyklu życia i zmian platformowych, gdy Microsoft ogłosi stabilne wydanie. Brak daty CU1 zmienia harmonogram planowania, ale nie zmienia konieczności utrzymywania Exchange SE w aktualnym stanie.