WSUS: Fixes für fehlerhafte Security-Updates erscheinen als einfache Updates

Da immer öfter für entdeckte Sicherheits­lücken schon kurz nach dem Bekannt­werden Exploits existieren, ist es zudem eine häufige Praxis, Security-Updates in Patch-Management-Systemen wie WSUS automatisch zu genehmigen.

Damit schützen sich Anwender zwar vor den Bedrohungen, denen Systeme ohne die neuesten Patches ausgesetzt sind, sind aber im Falle eines Falles von den Folgen fehler­hafter Updates betroffen.

Fixes außer der Reihe

In der Regel schiebt Microsoft dann einen Fix für das jeweilige Update schon nach wenigen Tagen nach ("Out-of-Band Update"). Diesen klassifiziert der Hersteller dann aber nicht mehr als Sicherheits­update, sondern nur mehr als gewöhnliches Update.

Unternehmen, die aber nur Security-Updates synchronisieren, bleiben dann auf ihren defekten Patches sitzen.

Ein Blog-Beitrag auf TechNet schlägt für diese Situation nun zwei Lösungen vor, die beide nicht ganz befriedigend sind:

• Anwender entschließen sich, zusätzlich auch normale Updates zu empfangen, um so Out-of-Band Updates zu erhalten.
• Sie warten bis zum nächsten Security-Update am folgenden Patch-Tuesday, denn dieses enthält dann auch den Fix für das fehlerhafte Update.

Keine Begründung gibt der Beitrag indes, warum Microsoft einen Fix für ein fehler­haftes Sicherheits­update nur als Update klassifiziert und was dagegen spräche, beide gleich zu kenn­zeichnen.