Exchange SE CU1の遅延:マイクロソフトはセキュリティを優先

マイクロソフトは、Exchange Server Subscription Editionの最初の累積更新プログラムを、当初の予定通りにはリリースできない状況に陥っています。当初は2026年上半期末までに提供される見込みでしたが、Exchange SE CU1のリリースはその後下半期へと延期され、現在では同社は確定的な時期を一切示さなくなっています。この延期は、新たな人工知能ツールによって発見されるものも含め、セキュリティ脆弱性の急増が開発者に過大な負担を強いていることが原因です。Exchangeチームは、今回の遅延について、新たに見つかった問題の検証、脆弱性の修正、緊急アップデートの展開を絶え間なく続けなければならないことが原因であると説明しています。

AIを活用した脆弱性探索

ここ数か月、マイクロソフトはソフトウェアの脆弱性を発見するために人工知能の活用を大幅に拡大してきました。今年4月、同社は意欲的な計画を発表し、最先端のAIモデルを安全な開発ライフサイクルに直接組み込む方針を打ち出しました。これらの高度なモデルは、潜在的な脆弱性を自律的に探索し、軽微な欠陥同士を組み合わせて強力なエクスプロイトチェーンを構築し、発見内容を厳密に検証するための動作コードを生成する能力を備えています。マイクロソフトの評価によれば、この自動化により脆弱性の特定が大幅に加速すると同時に、はるかに広範な攻撃対象領域をカバーできるようになるとしています。

さらにマイクロソフトは、複数のモデルを活用して脆弱性を探索・検証・優先順位付けする社内システムMDASHの進化を発表しました。このシステムは、単に理論上の問題を大量に生成するだけでなく、それらの発見内容を積極的に裏付け、実際の深刻度を評価するよう設計されています。同社はこのAI主導の脆弱性探索をSecure Future Initiativeにシームレスに統合し、製品エコシステム全体にわたって自動分析を展開しています。

Exchange Server SEへの影響

Exchange Serverも当然ながら、マイクロソフトのこの包括的な取り組みの対象となっています。想定されるすべての問題について、徹底した手動および自動による精査が求められます。専門家は脆弱性の存在を明確に確認し、エラーを再現し、修正策を設計し、予期せぬ不具合が生じないよう入念にパッチを検証したうえで、厳密な回帰テストを実施する必要があります。この徹底した検証プロセスが完了して初めて、修正はセキュリティ更新プログラムに組み込まれます。マイクロソフトは、最近のExchangeの脆弱性がすべて人工知能によって発見されたと明言しているわけではありませんが、CU1の遅延については、こうしたAI駆動の脆弱性スキャナーによって生じる作業量の増加が直接の原因であるとしています。

Exchangeの過酷な更新サイクルは、この追加負担をまさに象徴しています。同チームは2026年の5月、6月、7月、8月を通じてセキュリティパッチを配布しており、この加速したリリース頻度は今後も続くと警告しています。6月パッケージ向けの個別アップデート、そして7月にもさらに別のアップデートを実施した後、マイクロソフトは8月11日にExchange Server SE向けの最新のセキュリティ更新プログラムを公開しました。Exchange Server 2016および2019を利用しているユーザーについては、この8月の修正プログラムは拡張セキュリティ更新プログラム(ESU)に加入している場合のみ利用可能です。

累積更新プログラムの複雑性

その一方で、開発者たちはCU1の構築に懸命に取り組んでいます。毎月のセキュリティ修正一式は累積更新プログラムの内部ビルドに組み込まれるため、CU1の内容は常に流動的な状態にあります。この最初のCUには、Exchange Server SEの当初のデビュー以来リリースされたすべての修正と変更を含める必要があるため、新たなパッチが加わるたびに互換性および安定性テストのサイクルをやり直さなければなりません。

マイクロソフトは、十分に安定したビルド状態を達成し、なおかつ緊急のセキュリティパッケージが発生しない月を迎えて初めて、CU1を公開することを想定しています。同社は、管理者が大規模な累積更新プログラムを展開した直後に、必須の脆弱性パッチへの対応を迫られるような事態を強く避けたいと考えています。そうした連続的なリリースは、企業のExchangeサーバーを維持する専門家に課される過酷な作業負担を事実上倍増させてしまいます。

さらに、CU1と独立したセキュリティ更新プログラムを同時にリリースすれば、マイクロソフト社内には極めて大きな複雑性が生じることになります。CU1にはExchange Server SEの発足以来リリースされたすべてのコードが本質的に含まれる必要があることを踏まえると、開発チームは2つの大規模な変更セットを並行してテストせざるを得なくなります。開発者たちは、そのようなスケジュールは容認できないほど危険だと判断しており、緊急修正の波が落ち着き、安定したビルドを確定できるようになるまで、新たなリリース日を示さないという方針を選んでいます。

最新インフラへの移行

Exchange Server SE自体は、2025年7月1日に正式にデビューしました。最初のバージョンは概ねExchange Server 2019 CU15を踏襲したものでしたが、Subscription Editionは、継続的なサービス提供モデルを特徴とする、オンプレミスExchangeの新たにサポートされるブランチの登場を告げるものでした。今後公開される最初の累積更新プログラムは、SEのリリース以来蓄積されてきた無数の変更を統合することで、この2つのブランチの違いをより顕著なものにすると見られています。

マイクロソフトは、CU1を待つために現在利用可能なパッチのインストールを先送りしないよう、管理者に強く呼びかけています。同社は、専用のExchange Serverアップデート台帳内で、現行のビルド番号とリリース日を随時公開しています。これらのセキュリティ修正は通常、毎月のUpdate Tuesdayサイクルで配布され、それぞれのCUバージョンに対して累積的に適用されます。

これとは別に、マイクロソフトは組織に対し、旧式のExchange Server 2016および2019アーキテクチャからの移行を引き続き強く促しています。両バージョンの標準サポートは2025年10月14日に終了しており、それ以降セキュリティパッチは有償のESUプログラムの契約者のみが利用可能となっています。マイクロソフトは、この拡張更新プログラムが2026年10月に完全に終了することについて、痛切な注意喚起を行っています。ESUの終了後、オンプレミスインフラの所有者は、今後サポート対象となる更新プログラムを確保するために、Exchange Server SEへの移行が必須となります。

現時点では、Exchange SE CU1の正確なリリース日はいまだ明らかになっていません。マイクロソフトは、従来の累積更新プログラムの予定よりも脆弱性の撲滅を事実上優先しており、今後も重要なパッチの毎月の展開を続ける方針です。CU1は最終的に、十分に安定したビルドが実現し、緊急のセキュリティ更新プログラムの波が待望の落ち着きを見せた後に登場することになりますが、同社は現時点で、そのような好機がいつ訪れるかについての見通しを示すことを控えています。