Microsoft heeft criteria voor het patchen van beveiligingslekken gepubliceerd zodat onderzoekers weten waar ze aan toe zijn als ze een kwetsbaarheid bij de softwaregigant melden. Volgens Microsoft willen beveiligingsonderzoekers meer duidelijkheid of een gemelde kwetsbaarheid zal worden gepatcht.

De nu gepubliceerde "Security Servicing Commitments" moeten hiervoor zorgen (pdf). Het document stelt dat er twee vragen centraal staan bij de beslissing om een beveiligingsupdate te ontwikkelen. De eerste is of de kwetsbaarheid een belofte van een beveiligingsgrens of beveiligingsfeature van Microsoft schendt. Ten tweede wordt gekeken of het beveiligingslek dusdanig ernstig is dat het in aanmerking voor een update komt. Wanneer het antwoord op beide vragen "ja" is, zal de kwetsbaarheid een update ontvangen.

Het document laat verder zien welke beveiligingsgrenzen en beveiligingsfeatures in de producten van Microsoft aanwezig zijn en hoe de ernst van een beveiligingslek wordt bepaald. Daarin laat Microsoft weten dat als een beveiligingslek als Ernstig of Belangrijk is beoordeeld en het betrekking heeft op een beveiligingsgrens of beveiligingsfeature, de kwetsbaarheid via een beveiligingsupdate zal worden verholpen. Ernstige beveiligingslekken zijn kwetsbaarheden waardoor een aanvaller zonder interactie van gebruikers op afstand code op het systeem kan uitvoeren.