Microsoft heeft bevestigd dat de securityupdates van december 2025 voor problemen zorgen met Message Queuing (MSMQ). Zakelijke applicaties en IIS-websites ondervinden storingen na installatie van de patches.
Het bekende probleem treft Windows 10 22H2, Windows Server 2019 en Windows Server 2016-systemen waarop de updates KB5071546, KB5071544 en KB5071543 zijn geïnstalleerd. Deze patches verschenen tijdens de Patch Tuesday van deze maand.
Gebruikers melden diverse symptomen: MSMQ-queues blijven inactief, IIS-sites falen met “insufficient resources”-meldingen en applicaties kunnen geen berichten meer schrijven naar queues. Sommige systemen tonen misleidende foutmeldingen over onvoldoende schijfruimte of geheugen, terwijl er wel degelijk voldoende resources beschikbaar zijn.
Veiligheidsmodel aangepast
Volgens Microsoft ligt de oorzaak bij wijzigingen in het MSMQ-securitymodel. De updates hebben de rechten op de systeemmap C:WindowsSystem32msmqstorage aangepast. MSMQ-gebruikers hebben nu schrijftoegang nodig tot deze map, die normaal gesproken beperkt is tot administrators.
Pogingen om berichten via MSMQ API’s te verzenden kunnen nu mislukken met resource-foutmeldingen. Ook geclusterde MSMQ-omgevingen onder load ondervinden problemen.
Systemen waar gebruikers met volledige admin-rechten zijn ingelogd, ondervinden het probleem niet. Voor veel enterprise-omgevingen is dat echter geen werkbare oplossing vanwege security best practices.
MSMQ cruciaal in enterprise
De MSMQ-service is beschikbaar als optionele component op alle Windows-besturingssystemen. Toch wordt het veelvuldig ingezet in bedrijfsomgevingen voor netwerkcommunicatie tussen applicaties. De service biedt asynchrone berichtenuitwisseling, essentieel voor veel line-of-business-applicaties en IIS-gebaseerde webapplicaties.
Microsoft onderzoekt het probleem, maar heeft nog geen tijdlijn gegeven voor een oplossing. Ook is onduidelijk of het bedrijf een noodupdate uitbrengt of wacht tot de volgende Patch Tuesday. Administrators die met het probleem kampen, overwegen mogelijk de updates terug te draaien. Dat brengt echter eigen beveiligingsrisico’s met zich mee.
In april 2023 waarschuwde Microsoft IT-beheerders al voor een kritieke kwetsbaarheid in MSMQ (CVE-2023-21554) die honderden systemen blootstelde aan remote code execution-aanvallen. De balans tussen beveiliging en functionaliteit blijft een uitdaging.