Microsoft: AI opóźnia aktualizację Exchange, brak daty wydania

Microsoft tłumaczy opóźnienie kluczowej aktualizacji serwera Exchange dodatkową pracą, jaką generują narzędzia AI wykrywające podatności w produktach firmy. Chodzi o Cumulative Update 1 (CU1) dla Exchange Server Subscription Edition (SE) — pakiet, który miał trafić do klientów jeszcze w pierwszej połowie 2026 roku, potem termin przesunięto na drugą połowę roku, a teraz Microsoft nie potrafi wskazać żadnej konkretnej daty.

Kluczowe wnioski

• Zespół Exchange opublikował w czwartek wpis pod tytułem „Gdzie właściwie jest Exchange SE CU1?”, w którym przyznaje, że klienci coraz częściej dopytują o termin wydania aktualizacji.
• Microsoft twierdzi, że dodatkowe zgłoszenia błędów generowane przez narzędzia AI do wykrywania podatności spowalniają prace zespołu deweloperskiego.
• Firma deklaruje, że priorytetem jest bezpieczeństwo, a nie harmonogram wydań — to konsekwencja wcześniejszego ataku na Exchange przypisywanego chińskim grupom powiązanym z państwem.
• Microsoft nie chce wydać CU1, a potem szybko zastąpić go kolejną wersją zawierającą nowe poprawki bezpieczeństwa, bo to oznaczałoby podwójną pracę dla administratorów.
• Ostateczna deklaracja Microsoftu brzmi: CU1 powstaje, ale firma nie ma dla niego żadnej daty.

Skumulowana aktualizacja, której nie ma

Exchange SE to abonamentowa wersja serwera pocztowego Microsoftu, a Cumulative Update to zbiorczy pakiet, który łączy wszystkie ostatnie poprawki błędów z nowymi funkcjami i usunięciem przestarzałego kodu. Microsoft wydaje takie aktualizacje raz lub dwa razy w roku, a wielu administratorów woli instalować właśnie CU niż nakładać każdą łatkę osobno.

Problem w tym, że Exchange SE jest produktem subskrypcyjnym — klienci płacą za bieżący dostęp do aktualizacji, a brak terminowego wydania CU1 nie jest najlepszą reklamą modelu pay-as-you-go. Microsoft w swoim wpisie wprost przypomina, że wcześniej mówił o wydaniu w pierwszej połowie 2026 roku, potem przesunął termin na drugą połowę, a teraz nie potwierdza żadnej daty.

AI jako źródło dodatkowej pracy, nie tylko rozwiązania

Kluczowym argumentem Microsoftu jest to, że „w ostatnich miesiącach różni przedstawiciele firmy tłumaczyli, jak Microsoft wykorzystuje różnorodne narzędzia AI do wyszukiwania podatności w swoich produktach”. Efektem tego jest napływ zgłoszeń, które zespół Exchange musi przepracować — a to oznacza „weryfikację, czy dane zgłoszenie faktycznie stanowi problem bezpieczeństwa, reprodukcję błędu, naprawę, testowanie pod kątem regresji po wdrożeniu poprawek i miesięczne wydawanie aktualizacji”.

To pokazuje ciekawy, dość rzadko opisywany efekt wdrażania AI do wykrywania błędów: narzędzia te generują tak dużo zgłoszeń, że sam proces ich obsługi zaczyna konkurować z pracą nad planowanymi funkcjami i wydaniami produktu. Innymi słowy, AI może przyspieszać znajdowanie podatności, ale jednocześnie zwiększa obciążenie zespołów, które muszą te zgłoszenia zweryfikować i naprawić.

Bezpieczeństwo nade wszystko — po lekcji z ataku na Exchange

Microsoft przypomina też swoją deklarację, że „priorytetyzuje bezpieczeństwo nade wszystko”. To stanowisko firma przyjęła po tym, jak podatności w Exchange umożliwiły atak przypisywany podejrzewanym o powiązania z Chinami operatorom, co skończyło się ostrą krytyką ze strony amerykańskiego rządu. Zespół Exchange wyjaśnia, że wciąż na bieżąco wgrywa miesięczne pakiety bezpieczeństwa do wewnętrznej wersji buildu CU1 i planuje wydać CU1 „tak szybko, jak uzyskamy rozsądnie stabilny punkt i miesiąc bez presji ze strony pakietów bezpieczeństwa”.

Powodem takiej ostrożności jest chęć uniknięcia sytuacji, w której Microsoft wyda CU1, a wkrótce potem będzie musiał zastąpić go kolejnym wydaniem zawierającym nowe poprawki bezpieczeństwa. Jak wyjaśnia firma, „to stworzyłoby podwójną pracę aktualizacyjną dla wielu administratorów organizacji”. Nawet wewnętrznie próba zapewnienia odpowiedniego testowania dwóch dużych wydań naraz — aktualizacji bezpieczeństwa i CU — byłaby bardzo trudna, ponieważ CU1 musi obejmować wszystko, co zostało wydane od momentu udostępnienia wersji RTM.

Administratorzy Exchange z pewnością docenią to, że Microsoft nie chce obarczać ich dwiema równoległymi dużymi aktualizacjami do wdrożenia. Mogą jednak zadawać sobie pytanie, kiedy w ogóle nastąpi miesiąc bez „naglącego pakietu bezpieczeństwa”, który miałby priorytet nad CU1.

Sam wpis Microsoftu nie daje żadnej pewności co do harmonogramu. Firma podsumowuje sytuację krótko: „Exchange SE CU1 nadchodzi; nie mamy dla niego daty. Ale o nim nie zapomnieliśmy”. Jak zauważa The Register, wygląda też na to, że Microsoft nie przewidział, jak bardzo napędzane sztuczną inteligencją wykrywanie błędów wpłynie na tempo prac zespołów odpowiedzialnych za rozwój produktów.

Podsumowanie

Microsoft nie potwierdza żadnego terminu wydania Exchange SE CU1, tłumacząc opóźnienie nawałem pracy wygenerowanej przez narzędzia AI do wykrywania podatności oraz priorytetem bezpieczeństwa nad harmonogramem wydań. Dla administratorów oznacza to dalsze oczekiwanie bez konkretnej daty, choć bez ryzyka konieczności wdrażania dwóch dużych aktualizacji naraz.