Microsoft stelt de eerste cumulatieve update voor Exchange Server Subscription Edition (SE) opnieuw uit. Het Exchange-team krijgt de update niet op tijd afgerond, mede doordat AI-tools steeds meer potentiële beveiligingsproblemen opsporen. Het beoordelen, oplossen en testen van die meldingen kost veel extra tijd.
CU1 blijft uit
Microsoft legt in een blogpost uit waarom Exchange Server SE CU1, de eerste cumulatieve update voor deze versie, nog niet beschikbaar is. De update stond aanvankelijk gepland voor de eerste helft van 2026. Later werd de planning verschoven naar de tweede helft van het jaar. Inmiddels noemt Microsoft geen nieuwe releasedatum of zelfs een nieuwe periode meer.
De vertraging heeft volgens Microsoft vooral te maken met de hoeveelheid werk rond beveiligingsproblemen. Verschillende Microsoft-teams verwerken momenteel veel meldingen. Daarbij moet eerst worden vastgesteld of een gemeld probleem daadwerkelijk een beveiligingskwetsbaarheid is. Vervolgens moet het probleem worden gereproduceerd, opgelost en getest om te controleren of de oplossing geen nieuwe problemen veroorzaakt.
Ook het Exchange-team heeft met deze extra werklast te maken. AI-tools spelen daarbij een rol. Door dergelijke hulpmiddelen kunnen meer potentiële kwetsbaarheden worden opgespoord. Dat betekent echter niet automatisch dat iedere melding een daadwerkelijk beveiligingslek is. Microsoft moet de meldingen eerst valideren en beoordelen voordat een oplossing wordt ontwikkeld.
Meer beveiligingsupdates
De extra aandacht voor beveiligingsproblemen betekent overigens niet dat Microsoft de beveiligingsupdates voor Exchange uitstelt. Integendeel: Exchange Server heeft de afgelopen maanden in mei, juni, juli en augustus beveiligingsupdates gekregen. Microsoft verwacht dat dit verhoogde tempo voorlopig blijft bestaan.
Juist die beveiligingsupdates zorgen voor extra werk rond CU1. De afzonderlijk uitgebrachte oplossingen moeten uiteindelijk ook onderdeel worden van de cumulatieve update. Microsoft moet daarvoor opnieuw testen of alle wijzigingen goed samenwerken en geen nieuwe problemen veroorzaken.
Een cumulatieve update is bovendien meer dan alleen een verzameling beveiligingsupdates. Ook andere verbeteringen en wijzigingen worden erin opgenomen. Voor Microsoft is het daarom belangrijk dat CU1 als geheel stabiel genoeg is voordat de update wordt vrijgegeven.
AI zorgt voor extra werk
De situatie laat een opvallend neveneffect zien van het toenemende gebruik van AI bij softwarebeveiliging. AI kan helpen om kwetsbaarheden te vinden die anders mogelijk niet of pas veel later zouden worden ontdekt. Maar iedere melding moet vervolgens door mensen worden onderzocht.
Daarbij gaat het niet alleen om het oplossen van echte kwetsbaarheden. Microsoft moet eerst bepalen of een melding daadwerkelijk een beveiligingsprobleem vormt. Daarna volgen onder meer reproductie, ontwikkeling van een oplossing en uitgebreide tests. Een groter aantal meldingen kan daardoor juist voor extra druk op ontwikkelteams zorgen.
Microsoft zegt niet dat alle door AI opgespoorde meldingen daadwerkelijk ernstige beveiligingslekken zijn. Het bedrijf benadrukt vooral hoeveel werk het verwerken van de meldingen oplevert. Dat onderscheid is belangrijk: uit de blogpost kan niet worden geconcludeerd dat Exchange plotseling met een groot aantal bevestigde kwetsbaarheden kampt.
Geen nieuwe releasedatum
Microsoft wil CU1 pas uitbrengen wanneer de update een voldoende stabiel punt heeft bereikt. Het Exchange-team wil bovendien voorkomen dat klanten kort na het verschijnen van CU1 alweer met nieuwe beveiligingsupdates worden geconfronteerd die opnieuw uitgebreid getest moeten worden.
Voor beheerders betekent dit dat zij voorlopig moeten blijven werken met de huidige Exchange Server SE-versie en de afzonderlijk uitgebrachte beveiligingsupdates moeten installeren. Wie wacht op CU1, krijgt dus voorlopig geen duidelijkheid over wanneer die beschikbaar komt.
Wat betekent dit voor HCC-leden?
Voor de meeste HCC-leden heeft het uitstel weinig directe gevolgen. Exchange Server Subscription Edition is vooral relevant voor organisaties en gevorderde gebruikers die zelf een Exchange-server beheren. Wie Outlook.com, Microsoft 365 of een andere maildienst gebruikt, hoeft vanwege dit uitstel niets te doen.
HCC-leden die wel een eigen Exchange-server beheren, moeten vooral blijven letten op de afzonderlijke beveiligingsupdates. Het uitblijven van CU1 betekent namelijk niet dat beveiligingsupdates worden opgeschort. Microsoft blijft kwetsbaarheden afzonderlijk aanpakken en updates uitbrengen.
Standpunt van HCC
HCC vindt het goed dat Microsoft beveiligingsproblemen uitgebreid onderzoekt voordat oplossingen onderdeel worden van een grote cumulatieve update. Zeker bij Exchange, dat binnen organisaties een belangrijke rol speelt voor e-mail en agenda’s, kan een foutieve oplossing grote gevolgen hebben.
Tegelijkertijd laat deze ontwikkeling zien dat AI niet automatisch betekent dat softwareontwikkeling minder werk oplevert. AI-tools kunnen helpen bij het vinden van potentiële kwetsbaarheden, maar de beoordeling en het oplossen daarvan blijven mensenwerk. Het is daarom positief dat Microsoft de beveiligingsmeldingen serieus onderzoekt, zolang dit niet ten koste gaat van het tijdig beschikbaar stellen van noodzakelijke beveiligingsupdates.
