Wie heeft er nog iets te zeggen in een gesloten ecosysteem?
Dit is zo'n verhaal dat me raakt.
Een anonieme beveiligingsonderzoeker (of hacker, hoe je het maar wilt noemen) publiceert onder de alias Nightmare Eclipse code waarmee kwetsbaarheden in Microsoft Defender kunnen worden uitgebuit. Microsoft stelt dat deze kwetsbaarheden niet volgens de principes van Coordinated Vulnerability Disclosure zijn gedeeld. Volgens het bedrijf zijn de details openbaar gemaakt zonder Microsoft vooraf de gelegenheid te geven de impact te onderzoeken en maatregelen te treffen.
Verschillende media schetsen het beeld van een onderzoeker die uit frustratie of wrok richting Microsoft handelt.
Ik weet niet wat er precies is gebeurd of wie juridisch gelijk heeft. Maar bij mij gaan de alarmbellen af omdat dit laat zien hoe afhankelijk we zijn geworden van een klein aantal leveranciers zodra dit soort conflicten ontstaan.
Nightmare Eclipse schrijft op een eigen blog: "So let me get this straight, when I actively asked you to communicate with me, you refused, humiliated me and made sure to insult me in front of people."
En verder: "You defame me in public with your CVE-2026-45585 advisory even though you literally deleted the Microsoft account I used to report bugs to you with."
Of die beschuldigingen terecht zijn, kan ik evenmin beoordelen. We hebben als buitenstaanders simpelweg niet genoeg zicht op wat zich tussen beide partijen heeft afgespeeld. Maar stel dat een onderzoeker daadwerkelijk het gevoel krijgt dat meldingen niet serieus worden genomen, accounts worden opgeheven en communicatiekanalen verdwijnen. Welke mogelijkheden heeft zo iemand dan nog?
In een gesloten ecosysteem zijn we afhankelijk van de leverancier om kwetsbaarheden te erkennen, verbeteringen door te voeren en kritiek serieus te nemen. Dat gaat goed totdat het niet meer goed gaat. Als die relatie onder spanning komt te staan, blijkt hoe weinig invloed individuele onderzoekers, gebruikers of organisaties uiteindelijk hebben.
Een gesloten ecosysteem patch je niet zelf. Je kunt niet zelfstandig bepalen welke verbeteringen worden doorgevoerd of welke prioriteit problemen krijgen. En hoe afhankelijker je wordt van één leverancier, hoe minder je uiteindelijk te zeggen hebt.
Dat is waar de strijd voor meer digitale autonomie voor mij om gaat. Natuurlijk gaat het over de vraag waar onze data staan opgeslagen en onder welke jurisdictie een dienst valt. Maar uiteindelijk gaat het ook over hoeveel invloed en zeggenschap we nog hebben wanneer belangen botsen.
Misschien heeft Microsoft gelijk.
Misschien heeft Nightmare Eclipse gelijk.
Maar als we dat uiteindelijk alleen kunnen beoordelen op basis van wat Microsoft en Nightmare Eclipse zelf naar buiten brengen, dan zegt dat ook iets over de mate waarin we afhankelijk zijn geworden van een klein aantal leveranciers.
14 juli is volgens Nightmare Eclipse een belangrijke datum. Wordt vervolgd.
Naschrift, 24 oktober 2026
Het verhaal heeft inmiddels een vervolg gekregen. Op 14 juli publiceerde Nightmare Eclipse een nieuwe kwetsbaarheid in Windows. In de maanden daarna volgden verschillende andere kwetsbaarheden in Microsoft Defender. Ook maakte de onderzoeker zijn identiteit bekend: Abdelhamid Naceri, een voormalig medewerker van Microsoft. Het conflict blijkt een langere voorgeschiedenis te hebben, maar over de precieze toedracht bestaat nog altijd onduidelijkheid.