マイクロソフト、Exchangeアップデート遅延はAIのせいと説明、時期は明言できず

マイクロソフトは、AIによる脆弱性発見ツールが生み出した追加作業のせいで、Exchange Server Subscription Edition（SE）向けの次期累積更新プログラム（CU1）のリリースが遅れていると認めた。Exchangeチームは「Exchange SE CU1はいったいどこにあるのか」と題した投稿で、顧客からリリース時期について問い合わせが来ていると明かした。当初は2026年上半期末までにリリースする予定だったが、その後「2026年下半期」に修正され、現在も正確な時期は示せていない。

Exchange SEは、マイクロソフトのメールサーバーのサブスクリプション版だ。累積更新プログラム（CU）は、それまでの全バグ修正に加え、新機能や非推奨コードの削除などをまとめた新しいパッケージで、通常年に1～2回公開される。毎月のパッチを個別に適用するよりCUを適用するほうを好む管理者も多い。サブスクリプション製品でありながらCUが予定どおり届かないのは、継続課金モデルの利点を示すうえで良い材料とは言えない。

遅延の理由についてマイクロソフトは、製品の脆弱性を発見するためにさまざまなAIツールを活用していると説明。Exchange開発チームは、AIが報告した問題の検証（実際のセキュリティ問題かどうかの確認）、再現、修正、修正後にリグレッション（回帰）がないかのテスト、月次セキュリティ更新のリリースといった作業に追われているという。さらに「あらゆることに優先してセキュリティを重視する」という誓約も遅延の理由として挙げている。この姿勢は、Exchangeの脆弱性が中国の関与が疑われる攻撃者に悪用され、米政府から厳しく批判された出来事を受けて採用されたものだ。

Exchangeチームは、毎月のセキュリティ更新を社内のCU1ビルドに取り込みつつ、「妥当な安定点に達し、緊急のセキュリティ更新対応がない月」にCU1をリリースする計画だと述べる。CU1を公開した直後に新しいセキュリティ更新を含む別のCUを出さなければならなくなると、管理者に二重の更新作業を強いることになるからだ。また、セキュリティ更新とCUという2つの大きなリリースを同時に適切にテストすることは、CU1がRTM以降のすべての変更を含むものである以上、非常に困難だと説明している。

投稿の最後は「要するに、Exchange SE CU1はリリースされる。ただし日付は提示できない。だが忘れてはいない」と締めくくられている。マイクロソフトは、AIによるバグ発見が製品開発チームにこれほど影響を及ぼすとは想定していなかったようだ。緊急のセキュリティ対応がない月がいつ訪れるのかは、引き続き注視する必要がある。