Zwarte dinsdag ligt alweer twee dagen achter ons, maar volgens sommigen is Microsoft niet helemaal eerlijk met haar informatie geweest. In Security Bulletin MS06-015 werd een patch voor een enkel "Windows Shell lek" aangekondigd. In het overzicht staat echter:

Toen dit security bulleting uitkwam, was het lek toen al bekend gemaakt?
Nee. Microsoft ontving informatie over dit lek via verantwoordelijke disclosure.

Iets verder staat:

Opmerking De update voor dit lek verhelpt ook een variant die al bij het publiek bekend was en vermeld staat onder Common Vulnerability en Exposure number CVE-2004-2289.

Volgens Steve Christey is dit lek al sinds mei 2004 bekend. Dus het gedocumenteerde lek is alleen aan Microsoft gemeld, maar de "variant" die ook gepatcht is, was al meer dan 700 dagen bekend. In dat geval zou de echte "variant" dus na de publieke ontdekking aan Microsoft gemeld zijn.

De update bevat ook een "verandering van functionaliteit":

Deze security update bevat een Defense in Depth aanpassing die ervoor zorgt dat er continu geprompt wordt in Internet zone drag en drop scenario's.

Het is echter niet bekend welke dreiging met deze aanpassing wordt verholpen. Volgens SecuriTeam moet Microsoft veel transparanter zijn in de informatie over dreigingen waar haar klanten mee te maken hebben. En niet alleen klanten, ook systeembeheerders die de patches moeten installeren weten niet welk probleem precies verholpen wordt.