Sinds Microsoft eind 2003 met een maandelijkse patchcyclus begon, heeft het ongeveer 745 beveiligingslekken in de eigen software gedicht. Daarvoor bracht het zo'n 400 Security Bulletins uit, waarvan er 230 het stempel "critical" van Microsoft meekregen, wat betekent dat aanvallers het lek op afstand kunnen misbruiken om systemen over te nemen. Dit jaar brak de softwaregigant twee keer het recordaantal lekken dat het dichtte, wat samenhangt dat er nu meer kwetsbaarheden worden gevonden dan toen Microsoft met de maandelijkse patchcyclus begon.

Dit jaar staat de teller op zo'n 160, meer dan de 155 die voor heel 2008 werden gerapporteerd. Het aantal kwetsbaarheden in Microsoft producten is de laatste jaren meer dan verdubbeld ten opzichte van 2004 en 2005. De laatste keer dat Microsoft helemaal geen updates op een patchdinsdag uitbracht was op maart 2007, meer dan 30 maanden geleden. In totaal beleefde de softwaregigant de afgelopen zes jaar slechts vier patchvrije maanden, waarvan er twee in 2005 waren. In meer dan 20 gevallen werden er op patchdinsdag meer dan 20 lekken verholpen, terwijl in 10 gevallen het om meer dan 20 lekken ging.

Keurmerk
Ook Apple en Oracle hadden de afgelopen jaren met een groot aantal lekken te maken, maar geen van beide leveranciers heeft net zoveel geld en middelen aan beveiliging uitgegeven als Microsoft deed, met name omdat bij deze bedrijven de drijfveren ontbreken om dit te doen, zegt David Rice, auteur van Geekonomics: The Real Cost of Insecurity Software en president van de Monterey Group.

Volgens hem kunnen leveranciers nog steeds ongestraft onveilige software uitbrengen, in tegenstelling tot de auto-industrie, waar voertuigen een veiligheidskeurmerk krijgen. Daarom hebben veel ontwikkelaars er voor gekozen om niet in de veiligheid van hun product te investeren. "Apple en Oracle zijn klassieke voorbeelden van bedrijven die niet op hetzelfde niveau in beveiliging hebben geïnvesteerd als Microsoft."

DOS-tijdperk
Wat betreft de meest recente patchdinsdag, laat dit de "inherente beperkingen" van de software development life cycle (SDLC) zien als eerste en laatste verdedigingslijn als het om informatiebeveiliging gaat, aldus Amichai Shulman, CTO van Imperva. Ondanks alle investeringen in veilig programmeren en security testing tijdens de ontwikkelingsfase, is het aantal kwetsbaarheden het afgelopen jaar alleen maar toegenomen. Volgens Tim O'Pry, CTO van de Henssler Financial Group, zijn veel van de kwetsbaarheden een erfenis van het DOS-tijdperk, omdat Microsoft compatibiliteit met oude software niet wil opgeven.