Steeds meer softwareaanbieders kiezen ervoor om op een vast moment de patches voor hun applicaties uit te brengen. Microsoft begon hiermee in 2003, Oracle volgde in 2004 en onlangs maakte Adobe bekend dat het ook met een patchcyclus gaat beginnen. De patchmomenten zijn handig voor systeembeheerders, die dan van voorbereidingen kunnen treffen en downtime beter kunnen communiceren.

De security is echter niet altijd gebaat met dit soort oplossingen, omdat het uitbrengen van patches kunstmatig wordt uitgesteld. Microsoft zegt in noodgevallen buiten de cyclus om een patch uit te brengen, maar in de afgelopen twee jaar waarin het 112 security bulletins publiceerde, heeft het dit maar vier keer gedaan. Experts verwachten dat er steeds minder tijd tussen het vinden van een lek en het verschijnen van een exploit zal zitten, waardoor de patchcyclus een security risico vormt.

En niet alleen het uitstellen, ook het verspreiden van automatische patches brengt de nodige risico's met zich mee. Microsoft roept al haar gebruikers toe om de functie automatisch patchen te gebruiken, maar als de updates niet goed getest worden, treft dit een groot aantal gebruikers. Voor Service Pack 2 moest men zelf een aparte tool uitbrengen die ervoor zorgde dat de mega-update niet door bedrijfsgebruikers gedownload werd. (TechWeb)