Microsoft heeft ondanks het uitbrengen van een patch, een zeer ernstig beveiligingslek in Windows gewoon laten zitten en het is niet de eerste keer, aldus Tyler Reguly van nCircle. Hij doelt op Security Bulletin MS09-032 die een kwetsbaarheid in het Video ActiveX control moet oplossen. In plaats van de kwetsbare code in kwestie te repareren, bracht Microsoft alleen een killbit uit. "De vraag is wanneer het acceptabel werd om een noodoplossing als patch uit te brengen?" Reguly klaagde eerder dit jaar ook al over het een patch die in zijn ogen het probleem niet oploste. "Waarom blijft Microsoft hiermee weg komen en waarom spreken we het hier niet op aan?"

De basis voor MS09-032 is te vinden in CVE-2008-0015, die al op 13 december 2007 werd toegekend. "Dat is 20 maanden geleden...een zeer lange tijd. In al die tijd is het beste dat ze konden doen het uitbrengen van een noodoplossing? Waarom geen patch voor de kwetsbare DLL." Reguly snapt niet waarom Microsoft de Fix-it noodoplossing die het eerder uitbracht nu als patch presenteert. "Waarom kunnen we hier collectief geen eind aan maken?"

Donut
Volgens de Security Research Engineer is het verschil tussen een patch en een noodoplossing simpel. "Het wordt nog eenvoudiger als we een patch als de oplossing voor het probleem zien. De patch lost het probleem op, eind van het verhaal. De noodoplossing niet." Hij vergelijkt het met het krijgen van een lekke band, om die vervolgens met een donut te "plakken". De donut laat je doorrijden, zei het trager en waarschijnlijk niet zo soepel.

"Het is niet ideaal, maar een noodoplossing voor je lekke band die handig is totdat je een plaksetje koopt of de band vervangt, afhankelijk van de situatie. Stel je voor dat je te horen krijgt dat je permanent met die donut moet rondrijden. Ik denk niet dat je erg blij zult zijn, met name als je vaak op de snelweg zit. Waarom zouden wij dan blij moeten zijn met het accepteren van noodoplossingen als patches, met name als we ons in een multi-user omgeving bevinden."