Microsoft heeft een document gepubliceerd waarin het uitlegt wat het als beveiligingslekken beschouwt en wanneer kwetsbaarheden worden gepatcht. In juni verscheen al een vroege versie van het document, waarvan nu de definitieve versie is uitgebracht (pdf). Volgens de softwaregigant gaat het echter om een dynamisch document dat in de loop van de toekomst zal worden aangepast.

Het document stelt dat er twee vragen centraal staan bij de beslissing om een beveiligingsupdate te ontwikkelen. De eerste is of de kwetsbaarheid een belofte van een beveiligingsgrens of beveiligingsfeature van Microsoft schendt. Ten tweede wordt gekeken of het beveiligingslek dusdanig ernstig is dat het in aanmerking voor een update komt. Wanneer het antwoord op beide vragen "ja" is, zal de kwetsbaarheid een update ontvangen.

Vervolgens worden alle beveiligingsgrenzen benoemd die Microsoft voor Windows heeft opgesteld en of die in aanmerking voor een update komen wanneer er een kwetsbaarheid in wordt gevonden. Ook worden beveiligingsfeatures genoemd die tegen dreigingen moeten beschermen en in aanmerking voor een update komen. Het gaat dan om features zoals BitLocker, Secure Boot en Windows Hello. Zowel in het geval van de beveiligingsgrenzen als -features is Microsoft van plan om eventueel gevonden kwetsbaarheden te patchen.

Voor zogeheten "Defense-in-depth security features", waaronder User Account Control (UAC), AppLocker en verschillende beveiligingsmaatregelen die exploits moeten voorkomen, heeft Microsoft geen plan om eventueel gevonden problemen te verhelpen. Ook zullen onderzoekers niet worden beloond voor het vinden en melden van problemen in een deel van deze security features. Onderzoekers die erin slagen om de exploitbescherming van Microsoft te omzeilen kunnen echter wel op een beloning rekenen. Microsoft hoopt met het document onderzoekers meer duidelijkheid te geven of een gemelde kwetsbaarheid zal worden gepatcht.