Microsoft waarschuwt: ook ondersteunde Windows-systemen kunnen vanaf mei 2027 updates mislopen

Microsoft waarschuwt organisaties en IT-beheerders voor een probleem met beveiligingscertificaten die een belangrijke rol spelen bij het ontvangen van Windows-updates. Vanaf mei 2027 kunnen bepaalde Windows-computers en servers geen updates meer ophalen wanneer de benodigde vervangende certificaten ontbreken. Het risico beperkt zich niet tot verouderde besturingssystemen: ook systemen met een nog officieel ondersteunde Windows-versie kunnen worden getroffen als ze niet tijdig de vereiste updates hebben geïnstalleerd.

De oorzaak ligt bij certificaten die Windows gebruikt om de authenticiteit van de infrastructuur achter Windows Update te controleren. Deze certificaten hebben een beperkte geldigheidsduur. Wanneer ze verlopen en een systeem niet over de juiste vervangende certificaten beschikt, kan het problemen ondervinden bij het tot stand brengen van een betrouwbare verbinding met de updatevoorziening van Microsoft.

Microsoft heeft de vervangende certificaten al opgenomen in reguliere beveiligingsupdates. Apparaten waarop de vereiste updates zijn geïnstalleerd, hoeven in principe geen aanvullende maatregelen te nemen. Vooral computers en servers die langdurig niet zijn bijgewerkt, handmatig worden beheerd of om operationele redenen achterlopen met beveiligingsupdates, verdienen extra aandacht.

Verlopende certificaten kunnen Windows Update verstoren

Windows controleert bij het ophalen van updates of de verbinding met de update-infrastructuur betrouwbaar is. Beveiligingscertificaten helpen daarbij om de identiteit en authenticiteit van de betrokken servers te verifiëren. Daarmee vormen ze een onderdeel van de beveiliging die moet voorkomen dat systemen onbetrouwbare of vervalste updategegevens accepteren.

De huidige certificaten lopen af op twee momenten in 2027: 17 mei en 19 juni. Microsoft heeft daarom vervangende certificaten verspreid via reguliere beveiligingsupdates, zodat Windows-systemen tijdig over de noodzakelijke gegevens beschikken.

Op systemen die de relevante updates al hebben ontvangen, verloopt deze overgang normaal gesproken automatisch. Gebruikers hoeven daarvoor doorgaans geen certificaten handmatig te installeren of instellingen te wijzigen.

Het risico ontstaat wanneer een apparaat de vereiste updates niet heeft ontvangen voordat de bestaande certificaten verlopen. Windows kan dan problemen ondervinden bij het controleren van de verbinding met Windows Update, waardoor het ophalen of installeren van updates niet langer mogelijk is.

Dat kan verder gaan dan het missen van een enkele beveiligingspatch. Wanneer de toegang tot de updatevoorziening daadwerkelijk wegvalt, kunnen ook andere updates die via Windows Update worden aangeboden niet meer normaal worden opgehaald. Daardoor bestaat het risico dat een systeem na de deadline steeds verder achteropraakt met beveiligings- en kwaliteitsupdates.

Het verlopen van de certificaten betekent overigens niet automatisch dat Windows zelf niet meer opstart of dat alle bestaande toepassingen onmiddellijk stoppen met werken. Het directe risico betreft de toegang tot de updatevoorziening. De gevolgen op langere termijn kunnen aanzienlijk zijn wanneer beveiligingsproblemen vervolgens niet meer tijdig worden verholpen.

Ook ondersteunde Windows-versies lopen risico

De waarschuwing heeft betrekking op meer dan alleen oude Windows-installaties die hun reguliere ondersteuning al hebben verloren. Ook organisaties die ondersteunde versies gebruiken, moeten controleren of de benodigde certificaatupdates aanwezig zijn.

Welke update nodig is, hangt af van de Windows-versie. Microsoft hanteert daarvoor verschillende minimale updatevereisten.

Windows 11 24H2 en Windows Server 2025

Voor Windows 11 versie 24H2 en Windows Server 2025 is de beveiligingsupdate van september 2025 of een latere update voldoende om de noodzakelijke vervangende certificaten te ontvangen.

Systemen die deze update of een nieuwere cumulatieve beveiligingsupdate hebben geïnstalleerd, beschikken daarmee in beginsel over de vereiste aanpassing. Beheerders moeten er wel rekening mee houden dat de update daadwerkelijk op het apparaat is geïnstalleerd en niet alleen is goedgekeurd of beschikbaar gesteld.

Windows Server 2022, Windows 10 en andere Windows 11-versies

Voor Windows Server 2022, ondersteunde versies van Windows 10 en andere ondersteunde Windows 11-versies geldt volgens de aangekondigde vereisten een recentere minimale updategrens: de beveiligingsupdate van juli 2026 of een latere versie.

Voor organisaties is het daarom belangrijk om niet uitsluitend te controleren of een apparaat een ondersteunde Windows-versie gebruikt. Ook moet worden vastgesteld of het systeem de juiste beveiligingsupdates heeft ontvangen.

Een apparaat kan immers nog binnen de officiële ondersteuningsperiode vallen en toch kwetsbaar zijn voor dit probleem wanneer het maandenlang geen updates heeft geïnstalleerd.

Windows Server 2016, Windows Server 2019 en Windows 10 Enterprise 2019 LTSC

Voor Windows Server 2016, Windows Server 2019 en Windows 10 Enterprise 2019 LTSC geldt een eerdere deadline dan voor de overige genoemde systemen.

Voor deze systemen is 17 mei 2027 de belangrijke datum. Voor de andere hierboven genoemde systemen geldt 19 juni 2027.

Het verschil tussen beide deadlines maakt het noodzakelijk om de gebruikte Windows-versies goed in kaart te brengen. Organisaties die meerdere generaties Windows-clients en servers beheren, kunnen niet zonder meer één algemene deadline voor hun volledige omgeving hanteren.

Beheerders doen er daarom verstandig aan om de systemen met de vroegste deadline als eerste te controleren en eventuele achterstanden ruim vóór mei 2027 weg te werken.

Windows 11 25H2 en nieuwere versies

Voor Windows 11 versie 25H2 en nieuwere versies zijn volgens Microsoft geen aanvullende maatregelen nodig in verband met deze specifieke certificaatvervanging.

Dat neemt niet weg dat het belangrijk blijft om deze systemen normaal bij te werken. De uitzondering heeft betrekking op de aanvullende maatregelen voor dit certificaatprobleem en betekent niet dat reguliere beveiligingsupdates overbodig zijn.

Windows 10 en ESU: extra aandacht blijft noodzakelijk

De certificaatkwestie staat los van de reguliere ondersteuningscyclus van Windows. Dat onderscheid is vooral van belang voor organisaties die nog Windows 10 gebruiken.

Voor bepaalde Windows 10-systemen is het mogelijk om via het Extended Security Updates-programma (ESU) langer beveiligingsupdates te ontvangen nadat de reguliere ondersteuning is beëindigd. Daarmee kunnen organisaties de overgang naar een nieuwere Windows-versie voorbereiden zonder onmiddellijk alle systemen te hoeven vervangen.

Deelname aan ESU betekent echter niet dat een apparaat automatisch aan alle technische voorwaarden voor Windows Update voldoet. Ook deze systemen moeten beschikken over de juiste certificaten en de benodigde updates hebben geïnstalleerd.

Organisaties die Windows 10 via ESU blijven gebruiken, moeten daarom zowel de ESU-status als de updategeschiedenis van hun apparaten controleren. Een systeem dat voor ESU in aanmerking komt, maar de noodzakelijke certificaatupdate mist, kan alsnog problemen ondervinden bij het ophalen van updates.

Daarbij is het belangrijk om onderscheid te maken tussen Windows 10-versies en edities. Niet iedere Windows 10-installatie valt onder hetzelfde ondersteunings- of ESU-regime. Beheerders moeten dus per apparaat nagaan welke ondersteuningsregeling van toepassing is.

Welke organisaties lopen het meeste risico?

In de praktijk zal het probleem vooral aandacht vragen in omgevingen waar updates niet automatisch of niet regelmatig worden geïnstalleerd. Dat geldt bijvoorbeeld voor organisaties die vanwege compatibiliteitsproblemen, bedrijfskritische toepassingen of strenge wijzigingsprocedures terughoudend zijn met het uitrollen van nieuwe beveiligingsupdates.

Ook systemen die lange tijd offline zijn geweest, slechts incidenteel verbinding maken met het bedrijfsnetwerk of afhankelijk zijn van handmatige onderhoudsvensters verdienen extra aandacht.

Het gaat onder meer om de volgende situaties:

• Servers met een updateachterstand: systemen waarop beveiligingsupdates vanwege onderhoudsvensters of afhankelijkheden slechts periodiek worden geïnstalleerd.
• Werkstations met uitgestelde updates: computers waarvoor updates herhaaldelijk zijn uitgesteld vanwege compatibiliteitstests of operationele bezwaren.
• Bedrijfskritische systemen: apparaten die specifieke bedrijfssoftware, productieprocessen of andere essentiële toepassingen ondersteunen en daarom niet zomaar kunnen worden bijgewerkt.
• Langdurig offline apparaten: computers en servers die pas na maanden opnieuw verbinding maken met de update-infrastructuur.
• Oudere Windows-installaties: systemen waarvoor de reguliere ondersteuning is beëindigd of waarvan de updatevoorziening niet meer volgens de actuele vereisten is ingericht.
• Omgevingen met afwijkende updateconfiguraties: apparaten waarvoor afwijkende beleidsregels of handmatige procedures gelden en waarbij niet vanzelfsprekend is dat de benodigde update wordt geïnstalleerd.

Niet ieder apparaat in deze categorieën zal automatisch problemen ondervinden. Het risico hangt af van de Windows-versie, de geïnstalleerde updates en de gebruikte update-infrastructuur. De genoemde situaties zijn vooral redenen om extra controles uit te voeren.

Wat moeten IT-beheerders vóór mei 2027 doen?

Microsoft adviseert beheerders om tijdig vast te stellen welke apparaten de benodigde updates hebben ontvangen. Het is verstandig om dit niet uit te stellen tot vlak voor de vervaldatum, omdat het bij grote IT-omgevingen tijd kan kosten om afwijkingen op te sporen en op te lossen.

Een gestructureerde aanpak kan uit de volgende stappen bestaan.

1. Breng alle Windows-systemen in kaart

Maak een inventarisatie van Windows-computers en servers binnen de organisatie. Registreer daarbij welke Windows-versie en editie elk apparaat gebruikt, welke ondersteuningsstatus van toepassing is en of het systeem onderdeel is van een ESU-programma.

2. Controleer de geïnstalleerde beveiligingsupdates

Vergelijk de updategeschiedenis van ieder systeem met de minimale updatevereisten voor de betreffende Windows-versie. Controleer niet alleen of updates zijn goedgekeurd of beschikbaar zijn, maar ook of ze daadwerkelijk zijn geïnstalleerd.

3. Geef systemen met een vroege deadline prioriteit

Begin met Windows Server 2016, Windows Server 2019 en Windows 10 Enterprise 2019 LTSC. Voor deze systemen is 17 mei 2027 de relevante deadline. Controleer vervolgens de overige getroffen versies waarvoor 19 juni 2027 geldt.

4. Werk achterstallige systemen tijdig bij

Installeer de benodigde beveiligingsupdates en eventuele nieuwere cumulatieve updates die deze vervangen. Bij systemen waarop updates niet automatisch worden geïnstalleerd, kan een handmatige installatie noodzakelijk zijn.

5. Controleer systemen die niet normaal kunnen worden bijgewerkt

Onderzoek waarom updates ontbreken. Mogelijke oorzaken zijn uitgeschakelde updatefuncties, geblokkeerde netwerkverbindingen, onvoldoende schijfruimte, mislukte installaties of beleidsinstellingen die updates tegenhouden. Los deze problemen op voordat de certificaten verlopen.

6. Test bedrijfskritische systemen

Wanneer servers of werkstations afhankelijk zijn van specifieke software, is het verstandig de benodigde updates eerst in een testomgeving te beoordelen. Plan vervolgens een geschikt onderhoudsvenster om de updates gecontroleerd uit te rollen.

7. Controleer de updatevoorziening na installatie

Controleer na het bijwerken of apparaten weer normaal updates kunnen ophalen en installeren. Zo kunnen eventuele resterende problemen worden opgespoord voordat de deadline wordt bereikt.

8. Leg de resultaten vast

Registreer welke systemen zijn gecontroleerd, welke updates zijn geïnstalleerd en welke apparaten nog actie vereisen. Dat maakt het eenvoudiger om de voortgang te bewaken en aan te tonen dat de organisatie de certificaatvervanging tijdig heeft voorbereid.

Updates handmatig installeren als dat nodig is

Wanneer een systeem achterloopt en niet via de gebruikelijke updateprocedure kan worden bijgewerkt, kunnen beheerders de benodigde updates alsnog handmatig installeren. Microsoft biedt daarvoor onder meer de Microsoft Update Catalog aan.

Daarnaast kunnen bestaande beheertools worden gebruikt om updates centraal te distribueren en de installatie ervan te controleren. Welke aanpak het geschiktst is, hangt af van de inrichting van de IT-omgeving en de Windows-versie.

Het is daarbij belangrijk om de juiste update voor het betreffende besturingssysteem te selecteren. Een update voor een andere Windows-versie of architectuur is niet zonder meer geschikt. Beheerders moeten daarom controleren of het installatiepakket overeenkomt met de versie, editie en architectuur van het apparaat.

Ook moet worden gecontroleerd of de installatie daadwerkelijk is geslaagd. Alleen het downloaden of aanbieden van een update garandeert niet dat de noodzakelijke certificaten op het systeem aanwezig zijn.

Niet-ondersteunde Windows-versies vragen om een andere aanpak

Voor systemen met een Windows-versie die niet langer wordt ondersteund, adviseert Microsoft migratie naar een ondersteund besturingssysteem.

Een handmatige installatie van een beschikbare update kan in bepaalde gevallen helpen om een achterstand weg te werken, maar biedt geen structurele oplossing voor een besturingssysteem dat geen reguliere beveiligingsupdates meer ontvangt. Bovendien kunnen de beschikbare updates en installatieprocedures per versie verschillen.

Organisaties die oude Windows-systemen vanwege gespecialiseerde software of apparatuur niet direct kunnen vervangen, moeten daarom een afzonderlijk migratie- of risicobeheersingsplan opstellen. Daarbij is het verstandig vast te leggen welke systemen nog niet kunnen worden gemigreerd, waarom dat zo is en welke maatregelen worden genomen om de risico's te beperken.

Uitzondering voor systemen die updates via WSUS ontvangen

Microsoft geeft aan dat de waarschuwing niet van toepassing is op apparaten die hun updates ontvangen via Windows Server Update Services (WSUS).

WSUS is een voorziening waarmee organisaties Windows-updates centraal kunnen beheren en distribueren. Beheerders kunnen daarmee bepalen welke updates beschikbaar worden gesteld aan aangesloten computers en servers.

Voor apparaten die daadwerkelijk via deze infrastructuur worden bijgewerkt, geldt dus een uitzondering op de beschreven waarschuwing. Het is echter verstandig om bij de inventarisatie vast te stellen welke systemen werkelijk via WSUS werken en welke apparaten een andere updatebron gebruiken. In grotere omgevingen kunnen verschillende updatekanalen naast elkaar bestaan.

De uitzondering moet daarom niet zonder controle worden toegepast op alle systemen binnen een organisatie. Apparaten die buiten de betreffende WSUS-infrastructuur vallen, moeten afzonderlijk worden beoordeeld aan de hand van hun Windows-versie en updategeschiedenis.

De deadline staat los van het einde van Windows-ondersteuning

De certificaatvervanging is geen aankondiging dat de genoemde Windows-versies vanaf mei of juni 2027 niet meer mogen worden gebruikt. Het gaat om een technische voorwaarde voor de betrouwbare werking van de updatevoorziening.

Een ondersteund systeem kan na installatie van de vereiste updates gewoon binnen zijn bestaande ondersteuningsregeling blijven functioneren. Omgekeerd betekent een geldige ondersteuningsstatus niet dat een apparaat automatisch over de noodzakelijke certificaten beschikt.

Voor organisaties is dat onderscheid essentieel. De ondersteuningsstatus bepaalt onder meer of een Windows-versie nog in aanmerking komt voor reguliere of aanvullende beveiligingsupdates. De certificaatkwestie bepaalt of het systeem de updatevoorziening onder de betreffende omstandigheden kan blijven gebruiken.

Beide zaken moeten dus afzonderlijk worden gecontroleerd.

Door: Drifter