Beheerders kunnen aan de bak blijven. Microsoft heeft na de noodpatches voor Exchange nog een lading patches uitgebracht op de reguliere Patch Tuesday. Ook voor kritieke kwetsbaarheden. Ondertussen zijn veel Exchange-installaties nog niet gepatcht. Maar dat is niet puur en alleen een kwestie van laksheid, luiheid of langzaam zijn.

Niet praten, maar patchen! Makkelijker gezegd dan gedaan. Niet alleen trage beheerders, budgetbeperkende CFO’s, en downtime-verbiedende managers en andere menselijke obstakels staan snel patchen in de weg. Ook een te patchen product kan dwarsliggen, zo blijkt nu ook bij de noodpatches voor Exchange. Kritieke update voor kwetsbaarheden die in de praktijk al worden misbruikt.

Gerichte golf, gevolgd door grote golf

Eerst zijn de Exchange-gaten gericht misbruikt door staatshackers die volgens Microsoft namens China opereren. En toen zijn de kritieke kwetsbaarheden algemeen misbruikt door aanvallers die Exchange-gebruikende organisaties links en rechts hacken. De noodklok wordt geluid, want niet alleen zijn de gaten kritiek en de aanvallen lopende. Ook blijkt dat vele duizenden Exchange-installaties nog niet gepatcht zijn.

Daar wordt wel aan gewerkt, maar in bepaalde gevallen moeten wat hordes worden genomen. Zo duiken de uitgebrachte patches niet voor iedereen op bij controle op updates. Een melding dat een systeem uptodate is, klopt dan dus niet. De aanvankelijk uitgebrachte patches zijn ook niet voor iedereen gelijk te gebruiken. Microsoft biedt daarvoor inmiddels wat hulp.