Het potentiële worm-lek in Windows Vista en Server 2008 was al langer bekend bij Microsoft, zo heeft de softwaregigant nu toegegeven. De kwetsbaarheid in het SMBv2 protocol werd begin september door een onafhankelijke beveiligingsonderzoeker gemeld. Het lek was zelf al door Microsoft "erg laat" in het in Windows 7 ontwikkelingsproces ontdekt en daardoor ook in de uiteindelijke versie van het besturingssysteem verholpen, aldus Security Development Lifecycle expert Michael Howard

Beveiligingsexpert H.D. Moore, bedenker van de hackertool Metasploit, vraagt zich af waarom de Windows 7 patch niet voor Vista en Server 2008 is gebruikt. "Ze hebben waarschijnlijk gedacht dat niemand het zou ontdekken, oops", reageert onderzoeker en Mac-hacker Charlie Miller. De uiteindelijke versie van Windows 7 was al sinds begin augustus beschikbaar, wat betekent dat Microsoft al zeker sinds juli van het lek op de hoogte is.

Geheime lijst
Volgens het Duitse Heise bevestigt het incident de theorie dat Microsoft intern ontdekte beveiligingslekken op een geheime lijst zet, om ze zolang het publiek er niet van weet, later te patchen, ongeacht de ernst van de dreiging. Beveiligingsupdates vereisen uitgebreide tests, omdat potentiële problemen op miljoenen al uitgerolde systemen lastig te voorspellen zijn. Voor producten die nog niet officieel zijn uitgebracht, zou het testen veel minder uitgebreid zijn.