Windows-patching wanneer openbaarmaking op AI-tempo gaat: ons nieuwe onderzoek

Het aantal Windows- en Office-CVE's is sterk gestegen, maar de gemiddelde ernst van die CVE's niet. Dat is de kernbevinding van ons nieuwe onderzoek. In het laatste volledige jaar (oktober 2025 tot september 2026) telt het onderzoek 2.438 unieke Windows- en Office-CVE's, 159,1% meer dan de 941 van het jaar ervoor, terwijl de gemiddelde CVSS v3-basisscore verschoof van 7,43 naar 7,37 en vervolgens naar 7,28. Voor wie verantwoordelijk is voor patching of applicatiepackaging is de bruikbare vraag niet langer hoeveel CVE's er zijn gepubliceerd. Het gaat erom hoe u een snellere stroom updates bijhoudt en kunt aantonen dat elke update ook echt draait.

Het paper, Windows patching when disclosure moves at AI speed, is een beschrijvend onderzoek over 36 maanden naar Windows- en Office-CVE's, het releaseritme van applicaties en hersteltijden. Het is geschreven door Ryan Mangan bij EfficientEther. Het is onderzoek van het bedrijf zelf en het is niet peer-reviewed. Het is als open-access preprint gepubliceerd op Zenodo onder een CC BY 4.0-licentie. De EtherApps Forge-editie, hetzelfde onderzoek in een vormgegeven opmaak, is gratis via de registratiepagina.

Wat het onderzoek heeft gevonden

Dit zijn de belangrijkste cijfers, zoals het paper ze weergeeft.

• 2.438 Windows- en Office-CVE's in het laatste volledige jaar, tegenover 941 het jaar ervoor en 679 het jaar daarvoor (+38,6%, daarna +159,1%). Het paper constateert dat de stijging geconcentreerd is in medio tot eind 2026.
• Een globaal ongewijzigde gemiddelde CVSS v3-score van 7,43, 7,37 en 7,28. CVE's met een score van 9,0 of hoger namen toe van 11 naar 60 tussen de laatste twee volledige jaren, dus een stabiel gemiddelde betekent in absolute zin nog altijd veel meer ernstige openbaarmakingen.
• 18 Windows-CVE's met gedocumenteerde vermelding van AI-ondersteunde ontdekking. Dit is een aan de bron geverifieerde set voorbeelden. Het is geen schatting van het aandeel van AI in ontdekkingen.
• Releasedagen in één jaar: 69 voor Microsoft Edge, 64 voor Chrome en 61 voor Visual Studio Code. Drie grote leveranciers kondigden tijdens het onderzoek kortere releasecycli aan.
• Geen gemiddelde hersteltijd voor het hele cohort. Van de 4.058 CVE's in het volledige venster van 36 maanden heeft er geen één een bruikbaar gestructureerd datumpaar van melding tot oplossing.

Hoe u de cijfers moet lezen

Het onderzoek is beschrijvend, en de beperkingen zijn net zo belangrijk als de resultaten.

• Het claimt geen oorzaak. De conclusie van het paper is dat AI bijdraagt aan de verandering, maar het aandeel ervan, een universele vermenigvuldiger voor de ontdekkingssnelheid en elke proportionele verandering in het risico op compromittering blijven ongemeten.
• De datum is een rapportagedatum van Microsoft. Elke CVE is gedateerd op zijn vroegste geldige herziening in de maandelijkse beveiligingsupdatedocumenten van Microsoft. Dat is een benadering van de openbaarmaking, geen waargenomen ontdekkingsdatum en geen datum waarop een klant de patch heeft geïnstalleerd.
• Oktober 2026 is een gedeeltelijke maand. Die loopt tot de peildatum van 26 oktober voor het bewijs en wordt apart gerapporteerd van de drie volledige jaren.
• Het releasepanel is bewust klein. Zes releasestromen van applicaties illustreren verschillende packagingpatronen. Ze vertegenwoordigen niet alle Windows-software, en een releasedag is beschikbaarheid, geen verplichte uitrol.
• Volume vertaalt zich niet naar werklast. Groei in openbaarmakingen kan niet worden omgerekend naar dezelfde procentuele toename in pakketten, downloads, herstarts of personeelsuren.

Het paper vermeldt ook zijn belangen. EfficientEther ontwikkelt en verkoopt EtherApps Forge, en het onderzoek evalueert EtherApps Forge noch enig ander commercieel product.

Voor wie het bedoeld is

Beheert u patching, endpointbeheer of applicatiepackaging bij een organisatie met 50 tot 600 gebruikers, of doet u dat als MSP voor meerdere klanten, dan geeft het paper u drie dingen mee voor uw volgende planningsgesprek.

1. Een verdedigbare nulmeting. Cohorten van volledige jaren met expliciete regels, zodat u kunt stoppen met het citeren van ruwe CVE-totalen die producten, datums en gedeeltelijke maanden door elkaar halen.
2. Een reden om release-intake te scheiden van packagingwerk. Het paper stelt continue release-intake voor, aparte sporen voor snelle, voorspelbare en schaarse releasestromen, bewijs dat elke update daadwerkelijk draait, en automatisering voor de uitvoering, terwijl mensen eigenaar blijven van wat wordt getest, wat als geslaagd telt en welke uitzonderingen acceptabel zijn.
3. Bewijs dat u kunt doorsturen. Een citatie en een analytisch supplement laten een change board, een financieel verantwoordelijke of een klant de cijfers controleren in plaats van ons op ons woord te geloven.

De rol van EtherApps Forge

EtherApps Forge legt Windows-applicaties vast op de machines waar ze al draaien en zet ze om in ondertekende MSIX-, MSI-, Intune- en App Attach-pakketten voor Microsoft Intune, Windows 365 en Azure Virtual Desktop. Dat is de packagingkant van het werk dat dit onderzoek beschrijft. Als u wilt bepalen hoeveel van een snellere releasestroom van leveranciers uw team centraal moet packagen, behandelen MSIX-packaging en -uitrol en modernisering en migratie van applicaties de route. Ons eerdere onderzoek naar 3.261 geautomatiseerde MSIX-packagingcases en de stand van applicatiepackaging in 2026 staat naast dit onderzoek.

Citeer als: Mangan, R. (2026). Windows Patching, AI-Assisted Discovery and Application Assurance: A 36-Month Descriptive Study of Windows and Office CVEs, Application Release Cadence and Remediation Timing. Zenodo. https://doi.org/10.5281/zenodo.23780566

Ontvang het Windows-patchingonderzoek en neem de cijfers mee naar uw volgende overleg over patching en packaging.