微软无限期推迟 Exchange SE CU1：AI发现更多漏洞，修复验证跟不上

因此，CU1并不是一个简单地把既有改动打包在一起的更新。如果在安全问题尚未充分处理时强行发布，微软可能面临几种风险：将已确认的漏洞排除在累积更新之外，仓促发布尚未完成回归测试的修复，或者让新版本出现稳定性和兼容性问题。微软最终选择继续推迟，并计划等内部版本达到“合理稳定”的状态，同时遇到一个没有紧迫安全内容需要发布的月份后再推出CU1。

CU1的发布时间表如何变化

微软对CU1的规划经历了几次调整：

• 最初计划在2026年上半年发布；
• 后来改为2026年下半年；
• 目前不再提供目标日期，只表示CU1仍在开发中。

在等待期间，Exchange团队会持续将每月的安全内容合并到内部CU1构建版本中。这意味着未来发布的CU1将包含延期期间完成的安全工作，而不是意味着Exchange停止维护安全性。

月度安全更新仍在正常发布

CU1延期并不意味着Exchange SE客户没有安全修复。微软在2026年6月、7月和8月分别发布了Exchange Server安全更新，覆盖Exchange Server Subscription Edition以及部分仍受支持的Exchange版本。

2026年5月的情况有所不同：微软当月宣布不会发布常规Exchange安全更新。随后，微软针对CVE-2026-42897发布了缓解措施和指导，并在之后的说明中指出，安装7月更新后可以移除相关缓解建议。

8月更新还修复了CVE-2026-65813。这是一个权限提升漏洞，影响Exchange Server Subscription Edition以及其他受支持的Exchange版本。

需要注意的是，对于多数本地部署环境，Exchange安全更新并不是通过Windows Update自动交付的。管理员应获取匹配的Exchange安全更新包，并在安装后核对安全更新对应的构建版本，而不能只依赖Exchange工具显示的基础累积更新版本。

企业现在应该怎么做

继续部署每个月的Exchange SE安全更新

CU1不应被当作企业可以等待的“安全截止点”。微软对已经运行Exchange SE的组织的建议，是在CU1开发期间继续保持系统最新状态。

企业可以按照现有的变更管理流程执行：

1. 在条件允许时，先在能够代表生产环境的非生产系统中测试；
2. 根据暴露面、漏洞风险和业务影响评估部署优先级；
3. 部署匹配的Exchange安全更新包；
4. 安装后确认更新成功，并核对实际的安全更新构建版本。

把CU1当作一次独立的平台变更

月度安全更新主要是日常安全运维动作；CU1则应被视为更大范围的平台和生命周期变更。企业可能需要为CU1安排更全面的兼容性测试、业务应用验证、备份与回滚准备，以及更广泛的回归检查。

区分这两类更新，可以避免一个常见的规划错误：把CU1当成日常补丁的替代品。月度安全更新的目标是降低当前暴露风险；CU1则会整合延期期间累积的工作，并在达到质量标准后引入Exchange Server SE的新功能。微软此前的路线图将CU1描述为Exchange Server SE首次引入新功能的累积更新。

换句话说，企业应采用“两条线”策略：每月打补丁，保障当前安全；单独规划CU1，完成平台整合和版本升级。

AI发现漏洞，为什么反而可能拖慢更新

Exchange CU1的延期反映出软件安全工作中的一个新矛盾：AI可以显著提高潜在漏洞的发现速度，但人工工程、修复流程、质量保证和发布管理能力并不会自动同步增长。

这并不意味着AI辅助扫描没有价值。发现更多问题，有助于在攻击者利用漏洞之前开展防护。但每一个有效发现都会转化为后续工作量：需要有人判断问题是否真实，稳定复现其行为，设计不会破坏现有功能的修复，并证明修复不会带来新的问题。

对于采用订阅模式的软件，客户通常期待版本交付具有可预测性和连续性；而安全研究的节奏却取决于新发现，未必能够严格服从既定日历。两者之间的张力，正是此次延期最值得关注的地方。

对Exchange客户来说，当前最稳妥的做法不是停止扫描，也不是仓促发布，而是维持清晰的双轨节奏：继续按月安装安全更新，同时等待微软宣布一个经过充分验证、足够稳定的CU1版本。没有CU1日期会改变企业的升级排期，但不会改变保持Exchange SE最新状态的必要性。