Toen Microsoft dinsdag een belangrijke update voor een TCP-lek in Windows uitbracht, liet het weten dat Windows XP Service Pack 2 en 3 niet kwetsbaar waren, die informatie blijkt niet te kloppen. De softwaregigant heeft het betreffende Security Bulletin MS09-048 herzien en meldt dat het besturingssysteem wel risico loopt, maar dat het geen patch uitbrengt. De reden hiervoor is dat Windows XP standaard geen listening service in de client firewall heeft ingesteld, en daardoor niet kwetsbaar is. Verder zou de kwetsbaarheid alleen maar voor een denial of service zorgen waar het systeem zelf van herstelt. Daarnaast beschikt XP over een firewall die de computer tegen inkomend verkeer beschermt. Eerder werd al bekend dat er ook geen update voor Windows 2000 verschijnt.

De uitleg van Microsoft is bij beveiligingsexpert Richard Bejtlich in het verkeerde keelgat geschoten. "Zoals je kunt zien blijft Microsoft achter de 'firewall verdediging' staan en zijn ze vergeten om de 'niet kwetsbaar voor dit lek' regel uit versie 1.0 van het bulletin te verwijderen. Dit is nog steeds niet acceptabel." Wel maakte Microsoft duidelijk dat het TCP/IP Timestamps lek, waarmee een aanvaller het systeem kan overnemen, niet in Windows XP aanwezig is. "Dat is goed nieuws."

Blauw scherm
Uit voorlopige tests blijkt dat via de eerder genoemde kwetsbaarheid het mogelijk is om een blauw scherm te veroorzaken. Volgens Bejtlich is dat een probleem, aangezien er genoeg bedrijfsomgevingen zijn waar wel een listener service draait, zoals SMB/CIFS. Microsoft liet hem weten dat het verhelpen van MS09-048 op Windows XP zeer lastig is, net als bij Windows 2000. "In andere woorden, het patchen van Windows XP is ook architecturaal onhaalbaar."