De eerste grote cumulatieve update van Exchange Server loop vertraing op dankzij AI-tools die kwetsbaarheden vinden.
Microsoft stelt de eerste grote cumulatieve update voor Exchange Server Subscription Edition opnieuw uit. Een opvallende oorzaak is het succes van AI-tools die steeds meer kwetsbaarheden in Microsofts software opsporen. Het Exchange-team krijgt daardoor zoveel extra beveiligingswerk te verwerken dat Cumulative Update 1 (CU1) voorlopig geen releasedatum krijgt.
CU1 stond eigenlijk gepland voor de eerste helft van 2026. Microsoft verschoof die planning eerder al naar de tweede helft van het jaar, maar kan nu zelfs binnen die periode geen concrete datum noemen.
AI vindt meer beveiligingsproblemen
Volgens Microsoft gebruiken verschillende teams binnen het bedrijf steeds vaker AI om kwetsbaarheden in producten te ontdekken. Dat levert het Exchange-team een stroom aan potentiële beveiligingsproblemen op.
Die meldingen moeten bovendien allemaal handmatig verder worden verwerkt. Ontwikkelaars moeten nagaan of een gevonden kwetsbaarheid daadwerkelijk bestaat, ze reproduceren, een oplossing ontwikkelen en vervolgens controleren of de patch geen nieuwe problemen veroorzaakt. Beveiligingsupdates moeten daarna ook nog worden getest en maandelijks worden uitgebracht.
Wachten op een rustige maand
Microsoft werkt ondertussen wel verder aan CU1. Nieuwe maandelijkse beveiligingsupdates worden telkens toegevoegd aan de interne versie van de cumulatieve update. De release volgt zodra Microsoft een voldoende stabiele versie heeft én er een maand voorbijgaat zonder dringende beveiligingsupdate.
Daarmee wil het bedrijf voorkomen dat systeembeheerders kort na de installatie van CU1 alweer een omvangrijke nieuwe update moeten uitrollen. Ook voor Microsoft zelf zou het gelijktijdig testen van een cumulatieve update en een grote beveiligingsupdate de kans op problemen vergroten. Een CU bevat namelijk niet alleen nieuwe wijzigingen, maar moet ook alle patches bevatten die sinds de oorspronkelijke release van Exchange SE zijn verschenen.
Wanneer die rustige periode er komt, weet Microsoft niet. Exchange SE CU1 komt er volgens het bedrijf nog altijd aan, maar een releasedatum is er voorlopig niet. De situatie toont tegelijk een opmerkelijke keerzijde van AI voor softwareontwikkeling: geautomatiseerde tools kunnen kwetsbaarheden veel sneller vinden, maar alle gevonden problemen moeten daarna nog wel door ontwikkelaars worden onderzocht en opgelost.