Home   2026-10-22 19:56:51

←

Microsoft waarschuwt: oude Windows-versies kunnen toegang tot Update verliezen

Original article

Microsoft waarschuwt systeembeheerders dat oude Windows-versies vanaf volgend voorjaar mogelijk niet meer kunnen worden bijgewerkt, tenzij zij daarop actie ondernemen. Windows 11 24H2, Windows Server 2025 en oudere versies van Windows 10 en 11 kunnen door een verlopen certificaat geen verbinding meer maken met Windows Update. Voor versies die officieel nog worden ondersteund, moeten beheerders handmatig een recente update installeren.

Microsoft zegt in een blogpost en in het Message Center dat apparaat- en systeembeheerders nu al moeten nadenken over wat ze volgend jaar met hun installaties willen doen. Op 17 mei en 19 juni verlopen dan de certificaten die bepaalde Windows-versies nodig hebben om verbinding te maken met Windows Update. Als die apparaten niet vóór de betreffende datum worden bijgewerkt, kunnen ze daarna niet meer via Windows Update worden beveiligd.

Microsoft zegt dat de meeste apparaten daar geen last van hebben. Bij Windows 11-versie 25H2 gebeurt dat bijvoorbeeld automatisch. Voor Windows 11-versie 24H2 is het nodig dat beheerders vóór 19 juni 2027 een beveiligingsupdate installeren. Hetzelfde geldt voor versies van Windows 11, Windows Server en Windows 10 die nog officiële ondersteuning krijgen.

Versie Wat moeten gebruikers doen?
Windows 11 25H2 of hoger Niets.
Windows 11 24H2 / Windows Server 2025 De beveiligingsupdate voor september 2025 of later installeren vóór 19 juni 2027.
Andere ondersteunde Windows 11-versies De beveiligingsupdate voor juli 2026 of later installeren vóór 19 juni 2027.
Ondersteunde versies van Windows 10 De beveiligingsupdate voor juli 2026 of later installeren vóór 19 juni 2027.
Windows 10 Enterprise 2019 LTSC / Windows Server 2019 / Windows Server 2016 De beveiligingsupdate voor juli 2026 of later installeren vóór 17 mei 2027.
Overige Windows-versies Upgraden naar een ondersteunde versie van Windows.

Versies die niet meer officieel worden ondersteund, kunnen na de betreffende datum geen verbinding maken met Windows Update. Dat kan alsnog problematisch zijn voor andere dingen dan Windows-updates. Zo kunnen gebruikers dan geen antivirusdefinities meer ontvangen, rootcertificaten bijwerken of updates voor Secure Boot krijgen. Ook kunnen gebruikers dan niet meer upgraden van een onbeveiligde naar een beveiligde Windows-versie.

Windows stock. Bron: Samuel Boivin/NurPhoto via Getty Images

Door Tijs Hofmans

Nieuwscoördinator

Feedback • 09-10-2026 17:33
96 • submitter: wildhagen

09-10-2026 • 17:33

96

Submitter: wildhagen

Reacties (96)

Voor versies die officieel nog worden ondersteund, moeten beheerders handmatig een recente update installeren.
Slechte vertaling maar je kan de benodigde updates gewoon automatisch installeren, het zijn gewoon de maandelijkse updates waar dit nieuwe cert al ik zit. Alleen als je niet of nauwelijks update (bijvoorbeeld speciale systemen) moet je de update even targeten.

[Reactie gewijzigd door HKLM_ op 9 oktober 2026 20:40]

En als je binnen de onderneming gebruik maakt van WSUS is er ook niets aan de hand.
Is WSUS nog een ding anno 2026?
Er zijn geen MS alternatieven voor een on-premise omgeving. Ook Microsoft Configuration Manager gebruikt WSUS onderwater.
Azure ARC met Update Management is het MSFT alternatief voor WSUS. Hiermee kan je zowel Azure VMs als on-premise servers updaten.
Als je niet update moet je er toch niet mee inzitten dat je binnenkort niet meer zal kunnen updaten?
Ik begrijp dit soort dingen nooit zo goed, de Windows 10/11 installatie connect toch naar een webservice die HTTPS draait, waarvan aan de kant van de Update Server van Microsoft het certificaat iedere periode wordt vernieuwd? Of werkt dit met een soort cliëntside certificaat op de machine die de server checked? Hoe lang waren die in totaal geldig dan bijv? Maar enkele jaren of bijv wel 10 jaar? :?

Moeten we ook niet eens af van die validity periode van certificaten? Het zorgt voor veel gedoe, onderhoud en problemen en vraag me af of het er veiliger door wordt? Buiten dat de public CA's er heel veel geld mee verdienen. Zou het niet beter zijn certificaten een hele lange periode valide te maken en te revoken als ze compromised zijn..? Of een ander systeem.

[Reactie gewijzigd door Urk op 9 oktober 2026 17:53]

Moeten we ook niet eens af van die validity periode van certificaten?
Nee dat moeten we niet. Certificaten gaan alleen maar korter geldig zijn. Een certificaat is een soort digitaal document waarvan de waarde van verschillende factoren afhangt. De geldigheidsduur is in het leven geroepen, net als bij bv een paspoort, om er zeker van te zijn dat er o.a. met veilige algoritmen etc wordt gewerkt.
En om te voorkomen dat een aanvaller/man in the middle Windows updates gaat gebruiken om malware te pushen
Inderdaad, maar MS zou wel een manier kunnen voorzien waarop oudere machines geüpdatet kunnen worden, door certificaten die gaan vervallen automatisch te vernieuwen, buiten Windows Update (als de machines met internet geconnecteerd zijn).

Dit is een keuze van MS, geen vaststaande technische beperking inherent aan certificaten.
Men biedt hier een manier aan waarop oudere machines nog automatisch geupdate kunnen worden.

Mogelijk is er certificate pinning toegepast (in de software aangeven welk specifiek certificaat moet worden vertrouwd) waardoor er nu een oplossing moet worden gerealiseerd doordat het certificaat in kwestie gaat verlopen. Zo lang je netjes update is er niets aan de hand.
Ik zie het eerder als een probleem dat ze zelf veroorzaakt hebben (Windows Update stopt al snel met werken) oplossen door gebruikers acties te laten ondernemen.
Zo lang je gewoon binnen een normaal termijn update gaat alles vanzelf en krijg je de benodigde update vanzelf binnen. Je ziet ergens een probleem waar er geen probleem is.
Problemen die er niet zijn moet niet voor gewaarschuwd worden 😃
Het is netjes dat Microsoft wel waarschuwt gezien je altijd mensen hebt die niet tijdig updaten (en die dan achteraf gaan lopen klagen). Dit punt is pas een probleem wanneer je zelf nalaat bij te blijven met patches.
Mja, als geen updates installeren tot gevolg heeft dat je geen updates kan installeren...
Het is netjes dat Microsoft wel waarschuwt gezien je altijd mensen hebt die niet tijdig updaten (en die dan achteraf gaan lopen klagen). Dit punt is pas een probleem wanneer je zelf nalaat bij te blijven met patches.

is het ook netjes als blijkt dat bepaalde hardware een bepaalde update helemaal niet kunnen installeren. ik heb in het verleden ook gepost over een dergelijk incident met een asus laptop die niet wilde updaten van Windows 10 update 20h1 naar update 20h2 met als enige melding dat er een hardware conflict was en dat ik de fabrikant maar moest benaderen.

uiteraard heb ik dat gedaan en die gaven natuurlijk microsoft weer de schuld... uiteindelijk die laptop als zijnde defect (of deels defect) verkocht via V&A. punt is als het mij is overkomen met een laptop van toen 1499 euro dan durf ik wel te stellen dat er echt wel meer mensen zijn die door dit soort perikelen ineens geen gebruik meer kunnen maken van een licentie waar wel gewoon voor is betaald. tis dan maar de vraag of je wel gewoon een geupdatetete versie van windows gaat kunnen downloaden (en installeren) via bijvoorbeeld de ISO of de mediacreationtool.
Het is hier meestal neet nalatigheid met updaten maar simpelweg systeemen die niet veel gebruikt worden. Zo heb ik een dual boot die regelmatig maanden niet gebruikt wordt. Misschien zelfs een systeem dat het grootste deel van de tijd offline leeft. voor security opzich geen probleem, met verlopen certificaten zonder automatisch eerst de nieuwe op te halen wat onhandig.

dat gezegd hebben is 2 jaar een prima termijn hier, maar als je dit een half jaar maakt is het een groter probleem voor pc's die zo nu en dan actief aam het internet hangen, zeker als de timing wat rottig uit komt.

[Reactie gewijzigd door qlum op 11 oktober 2026 09:05]

Zou ook wel fijn zijn als ze dan melden hoe je kunt checken of je het nieuwe certificaat hebt ontvangen.
Het zal toch allemaal voor de bedrijven zijn. Alsof de hele wereld in stort en de gemiddelde thuisgebruiker zijn pc niet maar kan gebruiken. Ach wat een paniek zeg....

Als je als beheerder de verantwoording hebt voor grote systemen, alee, maar dit. tssss
Wellicht cert pinning gebruikt.
Het certificaat van de publieke service wordt gecontroleerd tegen een bekende waarde voor de vingerafdruk van dat certificaat. Als dat niet overeenkomt, wordt het certificaat niet vertrouwt en de updates niet gedownload. Dit omdat er anders alsnog aanvallen mogelijk zijn, bijvoorbeeld wanneer aanvallers in staat zijn om een geldig certificaat voor dat domein te verkrijgen via een gecomrpomiteerde certificaatauthoriteit, of dat men er in slaagt van een eigen, vertrouwd rootcertificaat op jouw computer te installeren.

Nee, we moeten niet af van de geldigheidsperiode, in tegendeel. Deze wordt net steeds korter en korter. En met goede redenen. Wanneer een private sleutel uitlekt, wordt deze nog zelden publiek ongeldig verklaard en webbrowsers moeten tegenwoordig zoveel bestanden van het internet halen dat er veel te veel wachttijd nodig zou zijn om voor elk bestand te gaan controleren of het certificaat nog geldig is.

En CA's verdienen er vandaag niets aan dankzij diensten zoals Let's Encrypt waarbij je gratis en voor niets publiek vertrouwde certificaten kunt aanvragen.
en ook nog eens met een kleinere renewal interval dan de gebruikelijke betaalde certificaten
Het is meestal het CA certificaat dat verloopt. Het server certificaat wordt elke paar dagen vernieuwd maar dat wordt ondertekend door de CA. De private key daarvan wordt heel goed beveiligd, en die is iets van 10 jaar geldig. Dat is dan ook de key die in het OS wordt meegeleverd.

Daarom kan je als je een oude computer aan internet hangt ook nergens bij want al zijn bijgeleverde certificaten zijn verlopen.

Het kan zijn dat ze in dit geval ook pinning gebruiken maar meestal is de CA het probleem als het gaat om verlopen.

[Reactie gewijzigd door Llopigat op 9 oktober 2026 21:45]

Daarom kan je als je een oude computer aan internet hangt ook nergens bij want al zijn bijgeleverde certificaten zijn verlopen.
offtopic:
Klopt ja, maar ook leuk om in Windows 98 eens in de certificaat store te kijken. Staan certificaten bij die nog steeds een geldigheid hebben in leeftijd (wellicht wel revoked maar kan hij niet meer checken)
... Buiten dat de public CA's er heel veel geld mee verdienen. ...
Op de zaak hebben wij een certificaat voor ons domein, en die verloopt nu inderdaad sneller. Maar de CA heeft het certificaat voor een jaar verkocht, en niet voor een half jaar (dat is de huidige geldigheid). Ik moet simpelweg even inloggen bij de CA, de nieuwe bovenliggende certificaten ophalen (een zip-bestandje), en de certificaten koppelen aan mijn deel. De CA verdient er niets extra aan - althans, niet op dit moment.

Om een nieuw certificaat te maken moest ik eerst zelf klooien met KeyStore Explorer (en omdat ik dat niet vaak deed was dat iedere keer gedoe. Ik heb in een middagje een vervanger gemaakt voor KeyStore Explorer met behulp van Claude Code. Geen geklooi meer en klaar in een minuutje.
Zou het niet beter zijn certificaten een hele lange periode valide te maken en te revoken als ze compromised zijn..? Of een ander systeem.
Dat revoken hebben we tientallen jaren geprobeerd maar heeft in praktijk nooit goed gewerkt. De steeds kortere geldigheid van certificaten is juist de alternatieve oplossing die bedacht is om het systeem te redden.

We hebben drie varianten op revocation geprobeerd die allemaal mislukt zijn. Het voornaamste probleem is dat je iedere keer dat je een certificaat gebruikt moet controleren of het niet revoked is, en dat moet je controleren bij iedere aanbieder van certificaten. Dat creeert een aantal flinke SPOFs. Als de server van zo'n provider uitvalt, door overbelasting of een DDOS, kan niemand meer SSL gebruiken óf je moet de controles uitschakelen.

Hoe langer de lijsten met ingetrokken certificaten, hoe groter die problemen. Daarom is er altijd een geldigheidsduur nodig, anders moet je voor eeuwig bij blijven houden welke certificaten ooit ingetrokken zijn. Hoe korter de revocation periode, hoe sneller ingetrokken certificaten weer van de lijst af kunnen omdat ze zijn verlopen.

Een ander probleem is dat het erg lastig is om te weten of je certificaten zijn gekopieerd door een dief. Je hebt geen manier om te zien dat iemand anders jouw certificaten ook gebruikt.

Nog een probleem is dat de meeste lekken nooit gemeld zijn, ofwel omdat de eigenaar het gewoon niet weet (zie hierboven), ofwel omdat die niet weet dat er melding gedaan moet worden, ofwel omdat mensen lui zijn en het vergeten of domweg niet weten hoe het moet.

De keuze voor een steeds kortere geldigheid is een pragmatische aanpak van al die problemen. Wat er ook fout gaat, na een paar maanden lost het probleem zichzelf op omdat het certificaat verloopt.
De gebruiker hoeft niks te doen en kan niks vergeten.

Het is wel dat we de last hebben verplaatst. Nu moeten we voortdurend werk doen om die certificaten te vernieuwen. Uiteraard automatiseren we dat, maar ook dat is extra werk en gaat af en toe stuk. Toch denk ik dat het nieuwe systeem beter is. Je moet je systemen actief beheren om de certificaten geldig te houden.
Dat is beter dan dat je in actie móet komen als het mis is gegaan. Vergeten systemen vallen van internet als ze te lang geen onderhoud hebben gehad, in plaats van dat ze voor altijd door sukkelen met zwaar verouderde en onveilige crypto.
Nu moeten we voortdurend werk doen om die certificaten te vernieuwen. Uiteraard automatiseren we dat, maar ook dat is extra werk en gaat af en toe stuk.
En dat automatiseren van certificaatvernieuwing wordt steeds belangrijker. De maximale leeftijd gaat gefaseerd omlaag, vanaf 2029 is de max leeftijd van een certificaat nog maar 47 dagen. En dan is handmatige vervanging haast onmogelijk.

Voor overheden is dat helemaal leuk, die mogen niet bijv Lets Encrypt gebruiken omdat die geen OV certificaten bieden. Daar zal je eigen (ACME of andere) agents moeten gaan regelen bij alle eigen servers en lastiger: de SaaS-leveranciers..
Zo wordt je als systeembeheerder wel gedwongen om sneller updates uit te voeren en dat kan voor sommige wel goed zijn om een stok achter de deur te hebben.

Ik ken er een paar die amper updates uitvoeren en als ik er naar vraag dan wordt er gezegd: "De servers hebben niet direct een connectie met het Internet". Maar waarom kan vanaf de server dan wel naar het Internet?

En het zou Microsoft sieren als zij de updates in een soort offline pakket kunt downloaden en handmatig uitvoeren zodat de OS weer actueel is.
En Windows XP en 7 dan?
Onbekend. Microsoft noemt ze niet omdat ze het niet meer ondersteunen. Vaak blijft de update-infrastructuur nog de nodige jaren actief. Geen nieuwe patches meer maar wel de bestaande patches downloaden. Maar uiteindelijk is het vaak zo dat oude updates ook niet meer gedownload kunnen worden via Windows Update omdat MS de oude update servers heeft uitgezet.

Je kunt voor die tijd proberen om de updates voor oude versies van Windows te downloaden van de MS Update Catalog en vaak komen er ook community update packs of hele Windows Update alternatieven als Legacy Update: https://legacyupdate.net/
Windows server 2025 is volgens mij toch nog supported tot 2034? Lijkt me sterk dat die volgend jaar al end of life zou zijn.
Het gaat ook niet om EOL, het is een certificaat wat gerelateerd is aan de Windows Update Services welke gaat verlopen, en automatisch vernieuwd wordt door windows updates te installeren.

[Reactie gewijzigd door HKLM_ op 9 oktober 2026 17:41]

Die is volgend jaar niet end of life, maar als je een versie pakt die ouder is dan september 2025 (vorig jaar dus!), kan je geen updates meer installeren omdat het certificaat niet meer werkt.
Het is zelfs minder erg dan dat als ik het blog artikel goed lees. Volgens mij staat er expliciet dat het gaat om een Windows Update certificaat. Je kan dus wel updates/patches installeren, alleen je krijgt ze niet meer via Windows update omdat die verbinding geweigerd wordt omdat het certificaat is verlopen dan. Dus zelfs op die oudere versie kan je patches blijven installeren, zij het handmatig.
Hoe zit dat dan als ik mijn laptop terugezet naar de fabrieksinstellingen van 5 jaar geleden? Moet ik dan eerst handmatig een update downloaden?

Dan hoop ik op een nette melding vanuit Windowsupdate.
Je kan altijd nog erna updaten naar win11 26h2 of iets, door de update assistent te downloaden.

https://www.microsoft.com/nl-nl/software-download/windows11

Of door gewoon een usb stick te maken, en die te gebruiken in plaats van jou partitie van de fabrikant met de installatie.
Tevens kan je in windows tegenwoordig terug na de fabrieksinstellingen, hij zal dan windows downloaden en opnieuw erop zetten(Of tenminste ligt aan wat jij aanvinkt uiteraard).
Dan heb je ook gewoon de laatste beschikbare versie erop staan, die geschikt is voor jou device.

Dit kan gewoon in het instellingen / settings menu :).

[Reactie gewijzigd door Carlos0_0 op 9 oktober 2026 18:05]

Toevallig heb ik gisteren die assistent gebruikt om Windows van 24h2 naar 25h2 te updaten. Op 1 of andere manier ging dat niet via WU.

De update naar 24h2 moest ik ook al via een policy afdwingen, het verwijderen van die policy bood ook geen soelaas voor de 25h2 update. Ben benieuwd wat er gaat gebeuren met 26h2 :)
Die zou de Update assistent al moeten downloaden, of je heb een oudere versie.
Het kan ook zijn hij nog iets incompatibele ziet op jou pc, waardoor die niet komt.

Dat je het allemaal via policies moet afdwingen is wel raar, heb je misschien iets te veel gesloopt op je pc ?.
Dus tooltjes gebruikt als o&o shutup10 ++ ofzo, of andere vergelijkbare tooltjes om dingen gedwongen in windows uit te zetten ?.
Dat is wel een goede, ik heb privacy.sexy laten draaien. Als het goed is alleen de 'veilige' dingen uitgezet, maar wellicht dat het inderdaad toch iets verhindert qua update.

De 24H2 update zelf moest ik ook forceren in eind '25 oid, ik dacht toen vanwege incompatibele hardware (ryzen asus gaming laptop). Maar wellicht dat het toen ook al privacy.sexy-gerelateerd was!
Dan komt het wellicht door je incompatibele hardware, daar krijg je namelijk geen upgrades via windows update aangeboden.
tl;dr

Als je als beheerder je zaken op orde hebt en je servers/endpoints netjes gepatched zijn hoef je niks te doen. Als je in Juli volgend jaar nog steeds niet minimaal de CU van een jaar geleden geïnstalleerd hebt dan heeft security niet echt je prioriteit denk ik :+.
Ik zit nog op 23H2 want met de 24 patches kreeg ik het probleem dat men wired internet verbinding (LAN pc-kabelmodem) er om de-zoveel seconden onderbroken werd. Zelfs wifi-uitzetten hielp niet. Ik had het nog eens geprobeerd met de 2de patch maar exact hetzelfde probleem. Toen maar diep in het register alle updates afgezet want alleen auto-updates af zetten hielp niet, ging toch updaten :-S

Dus is DIT inmiddels opgelost? het verbreken van een wired internet connectie.
Klinkt eigenlijk eerder iets van een firmware issue van je bord. Weet niet of MS dat voor je gaat oplossen.
Je kunt updates ook downloaden op een andere computer via https://catalog.update.microsoft.com/Home.aspx en dan via een externe USB drive op de probleem PC installeren.
Ik vraag mij af of iemand op IT afdeling zichzelf wel serieus neemt als je al zo ver in Patches en updates achter gaat lopen.

Ik weet niet hoe meeste bedrijven dit doen, maar niet meer updaten is niet van deze tijd. Zeker als je als bedrijf de nodige certificaten moet hebben om in bepaalde branches werkzaam te mogen zijn.
Nou, ik heb een dual-boot machine die eigenlijk nagenoeg nooit Windows boot. Mijn main desktop heeft officieel nog Windows, maar ik heb nooit een netwerkkabel erin zitten wanneer ik Windows boot. Die laatste machine krijgt op die installatie geen updates, maar de eerste eigenlijk ook nagenoeg nooit (want ik gebruik het andere OS op die machine). Zo draaide ik vroeger ook af en toe een Windows VM, en die was dan ook helemaal out of date.

Dit soort uitzonderingen is waar je aan moet denken.

Want een airgapped systeem zul je hoe dan ook ook moeten patchen tegen lokale kwetsbaarheden.
"maar ik heb nooit een netwerkkabel erin zitten"

Maar exact die groep die u benoemd heeft hier helemaal geen last van. Dus in uw geval is er helemaal geen probleem.

Edit: in uw geval zijn de ICT gerelateerde problemen veel groter, maar dat is een hele andere discussie 😬

[Reactie gewijzigd door Roberto4646 op 9 oktober 2026 22:21]

Ik heb hetzelfde, maar Windows VM's gooi ik er na een jaar sowieso af. Dan doe ik een verse installatie met de nieuwste ontwikkeltools en weet ik ook zeker dat er geen malware genesteld is in het besturingssysteem. De data staat altijd op de host, dus die hoef ik niet te backuppen.

De fysieke Windows op deze laptop heb ik al een paar maanden niet meer opgestart en die zal uiteindelijk ook verdwijnen, als ik een nieuwere ARM laptop aanschaf. Ik heb deze er voornamelijk opstaan vanwege de verschillende updates zoals die voor UEFI en andere firmware.
Bij een omgeving waar mensen met het internet verbinden geef ik u gelijk. Dit wordt anders bij omgevingen die nooit met het internet verbinden, maar heel incidenteel toch een uitbreiding meekrijgen. Toen ik een mbo opleiding volgde hadden ze een simulator voor bijvoorbeeld treincabine simulatie om basisvaardigheden voor trein rijden aan te leren. Het was uiterst onwenselijk dit permanent te verbinden met het internet. De aanschafprijs was hoog. Updates halen het apparaat offline op momenten dat mensen examens moesten maken. Er was ook geen relevante online functionaliteit. De simulator zelf was dusdanig duur dat er geen budget was om upgrades naar bijvoorbeeld Windows 11 te financieren. Maar stel het moet onverhoopt toch eenmalig online voor bijvoorbeeld een bug fix(er waren best wat buggy situaties in de software) dan zou de mogelijk tot de meest recente relevante security patch installeren wel wenselijk zijn.

Dit is mijn anekdote, maar dit wordt aanzienlijk relevanter voor industriële bedrijven met lopende banden en automatische installaties die dus over het algemeen offline blijven en worden gebruikt as-is, maar toch onverhoopt zeer incidenteel in een situatie terecht kunnen komen waar de software leverancier niet fysiek aanwezig kan zijn met een usb-stick, omdat desbetreffende services simpelweg niet aangeboden worden en niet kunnen wegens licentie beperkingen die dus de eenmalige internet connectie na installatie vereisen
Updates halen het apparaat offline op momenten dat mensen examens moesten maken.
Dus, dan update je hem dinsdagavond na kantooruren en compenseer je die tijd met een vrijdagmiddag of zo.

[Reactie gewijzigd door nullbyte op 10 oktober 2026 09:03]

Over het algemeen wordt het niet geüpdatet. Verbinden met het internet zou voor die simulator sowieso in dit geval alleen een beveiligingsrisico zijn . Mocht je idd toch een keer met het internet moeten verbinden voor bijvoorbeeld nieuwe functionaliteit op die dinsdagavond zoals u meldt dan is het fijn om te weten dat dat niet kan via de automatische windows update functie . Dat mensen niet elke maand op dinsdag dat apparaat gaan updaten vind ik vrij logisch. Het zou zeker niet de eerste keer zijn dat nieuwe updates compatibiliteit problemen introduceren met de software of drivers van aangesloten joysticks. Verbind je toch met het internet dan lijkt me updaten vrij relevant en is het relevant om te weten hoe je dit zult moeten doen
Het zijn niet altijd de mensen op de IT-afdeling die daar over gaan. Los daarvan is het vervangen van het OS in een enterprise omgeving geen sinecure. Het begint er al mee dat je zeker moet zijn dat je honderden of duizenden applicaties nog werken met de nieuwe versie. Dat alleen kost al gruwelijk veel tijd. Als dat eenmaal gedaan is moet je duizenden PC's opnieuw inspoelen en nazorg verlenen op alles wat er mis ging bij het inspoelen, alles waar je ondanks al het voorwerk pas achter komt als het niet meer werkt (meestal omdat de gebruiker het niet nodig vond te reageren op je mail), etc. etc.

Geen wonder dat er versies overgeslagen worden :) En als dan de knoop doorgehakt wordt kan het best zijn dat men het traject te rooskleuring heeft ingeschat, of dat er (te veel of grote) onvoorziene zaken op het pad komen.

De gemiddelde IT'er wil bij blijven. De gemiddelde manager wil zo min mogelijk geld kwijt zijn aan alles up to date houden. Die twee bijten elkaar regelmatig.
Bij ons worden ietrs van 300.000 laptop's met Windows 11 en nog eens 60.000 Apple's beheerd. Ze worden iedere maand gepatched en een exception is gewoon niet te krijgen. Bij ons moet er op director niveau getekend worden, en die zijn dan persoonlijk aansprakelijk als het fout gaat.

Het zelfde geldt voor Servers (Ja we hebben nog een paar 1000 VM's draaien).

En applicatie software, wordt ook niet uitgesteld. Ik weet nog met Log4J, de severety was zo hoog, dat alles binnen 5 werkdagen alles gepatched moest zijn en leveranciers welke hun software niet konden patchen hadden wat uit te leggen. Meeste zijn ook geen leverancier meer.

Waar een wil is is een weg. En liever een week niet met een systeem werken, dan dat er data op straat ligt. Hier is de keuze snel gemaakt: Vulnerability CVE critical niet patchen of 6000 mensen twee weken niet met een systeem werken. Keuze is dan maar twee weken om de systemen werken of zelfs productie stil leggen.
Patchen, ja, doen wij ook. En met zaken als Log4j gaat management ook echt wel mee. Maar OS upgrades (waar ik het over had, en waar het artikel ook grotendeels over gaat) zijn veel ingrijpender dan patches. Van XP naar 7 ging héél veel stuk. Van 7 naar 10 al veel minder, 10 naar 11 weer minder, maar koste nog steeds bakken met tijd. Ook binnen een major versie is het niet rozengeur en maneschijn, 23H2 naar 25H2 (even uit mijn hoofd) was verre van pijnloos, en daar is management gevoelig voor.

Natuurlijk zijn ze ook gevoelig voor het cybersecurity-argument, maar dat is veel minder tastbaar, die applicatie die het niet doet en die extra FTE's die nodig zijn voor de OS-upgrades die voelen ze direct.

Ik neem mezelf als IT'er best serieus, maar ik heb niet zo veel invloed op management als dat management op mij heeft.
Bij ons gaat alles voordat extended support in gaat al naar nieuwe versies. Alleen als het echt nog niet kan dan blijven we hangen op een oudere versie voor die specifieke toepassing, maar dat is alleen op server kant. End user devices gaan gewoon over naar nieuwe versie. Meestal is er een piloot van twee maanden, en dan is het big bang.

Servers moet je een exception hebben die maximaal 6 maanden geldt. Dan moet je hem weer aanvragen. Zeker nu mensen in de hogere verantwoordelijke posities persoonlijk aansprakelijk zijn voor gevolgen door uit te stellen, is er opeens nooit meer een use case.
Door de huidige prijzen en geheugen te kort vind is dat nog steeds wel wat zonde.


Maar ja , kan er niet al teveel tegen doen ook al zie ik het graag toch anders.
Wat is er exact zonde? Zelf Windows 10 wordt nog meegenomen in dit geval:
De beveiligingsupdate voor juli 2026 of later installeren vóór 19 juni 2027.
Zit je op een nog ouder OS dan heb je waarschijnlijk in zijn geheel al geen updates meer.
Overstappen op een ander OS onderzoeken als optie?

Op je telefoon en tablet gebruik je immers geen Windows en kunt daar gewoon je ding doen.

Het kost even moeite, maar zakelijk kan je ook over, als je wilt (en mag van de baas).
Waarom doet windows update dan zelf niet dat certificaat voor die tijd updaten? Als je automatische updates uit hebt staan kan ik het me voorstellen, maar anders zou windows update dat certificaat zelf gewoon moeten updaten.
Maar dan is dus het hele artikel gewoon onzin, want als je niet update weet je zelf wel dat er problemen kunnen ontstaan na een tijdje.

Om te kunnen reageren moet je ingelogd zijn