Microsoft stelt dat het uitzonderlijk hoge aantal beveiligingslekken dat tijdens de vorige Patch Tuesday is verholpen, niet betekent dat Windows minder veilig is geworden. Het bedrijf reageert daarmee op een recordronde waarin patches verschenen voor meer dan 1100 kwetsbaarheden in Windows met een toegewezen CVE-nummer.
Volgens Microsoft-medewerker Nuno Costa laat het aantal geregistreerde kwetsbaarheden vooral zien dat er meer fouten zijn ontdekt en verholpen. Daarmee zou het aantal mogelijkheden voor aanvallers juist afnemen. Tegelijkertijd onderstreept Microsoft dat het installeren van updates in organisaties achterblijft, terwijl kwetsbaarheden steeds sneller kunnen worden misbruikt.
Meer dan 1100 Windows-CVE’s in één patchronde
Microsoft brengt beveiligingsupdates traditioneel uit op de tweede dinsdag van de maand. Tijdens de meest recente grote updatecyclus werden meer dan 1100 beveiligingslekken in Windows gedicht waarvoor een CVE-nummer was toegekend. Volgens de beschikbare informatie had Microsoft niet eerder in één keer zo veel kwetsbaarheden verholpen.
Het CVE-systeem, voluit Common Vulnerabilities and Exposures, wordt beheerd door de MITRE-organisatie en is wereldwijd de standaard voor het identificeren en rapporteren van kwetsbaarheden. CVE-nummers worden onder meer opgenomen in de National Vulnerability Database. Die database bevat inmiddels ongeveer 400.000 CVE-nummers die sinds 1999 zijn uitgegeven.
Een CVE-nummer maakt een kwetsbaarheid traceerbaar voor leveranciers, beveiligingsonderzoekers, beheerders en securityteams. Het zegt echter op zichzelf niet alles over de ernst, de praktische uitbuitbaarheid of de daadwerkelijke impact binnen een specifieke IT-omgeving.
Microsoft wijst op AI als verklaring voor stijging
Microsoft verklaart de opvallende toename onder meer door de inzet van kunstmatige intelligentie bij het vinden van kwetsbaarheden. Volgens Costa leidt AI ertoe dat meer beveiligingsfouten worden opgespoord. Daardoor komen er ook meer kwetsbaarheden in aanmerking voor herstel en registratie.
Die uitleg is relevant, omdat organisaties het aantal CVE’s vaak gebruiken als indicator voor risico. Een piek in aantallen kan wijzen op een bredere aanvalsvlakte, maar kan ook het gevolg zijn van betere detectie, intensiever onderzoek of gewijzigde rapportageprocessen. Microsoft benadrukt in dit geval vooral dat meer ontdekte en gepatchte kwetsbaarheden niet automatisch gelijkstaan aan een product dat slechter is geworden.
Bevestigd: patchgedrag blijft achter
Naast de discussie over het aantal lekken wijst Microsoft op een praktischer probleem: updates worden in zakelijke omgevingen niet altijd snel geïnstalleerd. Uit cijfers van Microsoft blijkt dat in augustus minder dan de helft van de zakelijke Windowscomputers patches had geïnstalleerd die twee weken eerder beschikbaar waren gekomen.
Ook na vier weken was een kwart van de zakelijke Windows-systemen nog niet bijgewerkt. Dat betekent dat een aanzienlijk deel van de systemen gedurende langere tijd kwetsbaar blijft voor aanvallen op fouten waarvoor al een oplossing beschikbaar is.
Volgens Costa moeten bedrijven updates sneller uitrollen om beschermd te blijven. Die oproep past bij een bredere ontwikkeling in cybersecurity: aanvallers volgen patchpublicaties nauwgezet en proberen bekende kwetsbaarheden steeds sneller te misbruiken. Zeker in grote organisaties kan het test- en uitrolproces complex zijn, maar uitstel vergroot de periode waarin systemen blootstaan aan bekende risico’s.
Analyse: aantal lekken is geen volledige veiligheidsmeter
Het aantal gepubliceerde CVE’s is een zichtbare en eenvoudig te tellen maatstaf, maar vormt geen volledige beoordeling van de veiligheid van een besturingssysteem. Voor risicobeheer zijn ook factoren van belang zoals ernstscores, exploitbaarheid, beschikbare mitigerende maatregelen, blootstelling aan internet en de snelheid waarmee patches kunnen worden uitgerold.
Een organisatie die Windows-systemen snel en gecontroleerd bijwerkt, loopt een ander risico dan een omgeving waarin updates wekenlang blijven liggen. Omgekeerd kan een groot aantal patches wel degelijk operationele druk veroorzaken. Beheerders moeten bepalen welke updates prioriteit hebben, compatibiliteit testen en verstoringen voorkomen.
De kern van Microsofts boodschap is daarmee tweeledig. Enerzijds wil het bedrijf voorkomen dat het recordaantal CVE’s wordt gelezen als rechtstreeks bewijs dat Windows minder veilig is geworden. Anderzijds laten de eigen cijfers zien dat het effect van patches sterk afhangt van de snelheid waarmee organisaties ze installeren.
Waarom dit organisaties raakt
Voor bedrijven en instellingen is de discussie meer dan semantiek. Windows is in veel omgevingen een kernplatform voor werkplekken, servers en beheerprocessen. Wanneer grote aantallen kwetsbaarheden tegelijk worden verholpen, neemt de druk op patchmanagement toe.
Het risico zit niet alleen in onbekende kwetsbaarheden, maar ook in bekende fouten waarvoor updates al beschikbaar zijn. Systemen die na twee of vier weken nog niet zijn bijgewerkt, blijven aantrekkelijk voor aanvallers die zich richten op organisaties met trage updateprocessen. De recordronde onderstreept daarom vooral het belang van inzicht in kwetsbare systemen, prioritering en tijdige uitrol van beveiligingsupdates.
Bron: security.nl
