Help, er staat een Mac op mijn netwerk (12): Patch Tuesday bestaat niet

Aflevering 12 van de serie Help, er staat een Mac op mijn netwerk.

Wat er gebeurde

Een dinsdagavond in september. Ruud zat thuis op de bank toen zijn telefoon oplichtte. Marieke, in de groepsapp: “Nieuwe macOS! Heet Golden Gate. Ziet er prachtig uit. Duurde wel even, maar hij doet het.”

Ruud las het twee keer. Daarna keek hij op de kalender. Het was niet de tweede dinsdag van de maand. Er was geen Patch Tuesday. Er was geen testgroep, geen goedkeuring in WSUS, geen wijzigingsverzoek. Er was alleen een directeur met een MacBook Air en een knop waar “Upgrade” op stond.

De volgende ochtend stond Marieke al bij zijn bureau. “Het boekhoudprogramma geeft een melding over iets met Intel. En de VPN wil niet meer verbinden. Maar verder is het echt heel mooi.”

Ruud nam een slok uit zijn mok (“Have you tried turning it off and on again?”) en zuchtte. “Bij Windows wist ik precies wanneer het kwam. Tweede dinsdag, ’s avonds onze tijd. Je kon er je klok op gelijkzetten. Hier komt het gewoon… wanneer het komt?”

Sam draaide zijn stoel om. “Mag ik even? Het komt eigenlijk ook voorspelbaar. Alleen op een ander ritme. En we hadden hem gewoon tegen kunnen houden.”

“Tegenhouden,” herhaalde Ruud langzaam. “Dat kan?”

“Negentig dagen,” zei Sam. “Als je het instelt.”

Ruud zette zijn mok neer. Dat was, gaf hij later toe, het moment dat hij besloot dat dit de laatste keer was dat een upgrade hem verraste.

Wat er echt aan de hand is

Windows-beheerders zijn opgevoed met een vast ritme: op de tweede dinsdag van de maand komen de beveiligingsupdates, en één keer per jaar een feature update die je met ringen en uitstel zelf inplant. Apple werkt anders. Er is geen vaste patchdag. Wel een ritme dat je kunt leren lezen.

• Eén grote macOS per jaar. Apple laat de nieuwe versie zien op WWDC in juni, daarna volgen drie maanden bèta’s, en in september komt de release. Dit jaar is dat macOS 27 Golden Gate. Apple noemt dit een upgrade.
• Puntreleases. Daarna volgen 27.1, 27.2 en zo verder, ongeveer elke maand of twee, met bugfixes, beveiligingsfixes en soms nieuwe functies. Apple noemt dit een update.
• Beveiligingsupdates buiten het ritme. Wordt er een lek actief misbruikt, dan komt er een fix wanneer die klaar is. Dat kan op een dinsdag zijn. Of op een zaterdag.
• Background Security Improvements. Sinds macOS 26.1 kan Apple kleine beveiligingsfixes, vooral voor Safari, WebKit en systeembibliotheken, los leveren zonder volledige update. Je herkent ze aan een letter achter het versienummer, zoals 27.1 (a). Ze volgen de gewone uitstelperiode niet, maar ze gelden alleen voor de nieuwste puntrelease. Hou je die tegen, dan hou je deze fixes dus ook tegen. Ze heetten vroeger Rapid Security Response.
• Oudere versies. In de praktijk krijgen de twee vorige grote versies nog een tijd beveiligingsupdates. Maar Apple zegt zelf dat niet alle bekende lekken in oudere versies worden gedicht. Alleen de nieuwste versie is volledig bijgewerkt. Achterblijven is dus een keuze met een prijs, geen veilige haven.

En dan de klap op de vuurpijl: Golden Gate is de laatste macOS waarop Intel-apps via Rosetta 2 gewoon draaien. Vandaar die melding in het boekhoudprogramma. Het werkt nog, maar het is een waarschuwing dat het volgend jaar niet meer werkt. VPN-clients zijn een ander verhaal: die haken diep in het systeem met netwerkextensies, en na een grote upgrade heeft de leverancier vaak een nieuwe versie nodig. Bij Bolderman kwam die twee dagen later.

Zo los je het op

De vertaaltabel

Het updateplan voor volgend jaar

1. Zet uitstel aan voor grote upgrades. Apple laat je op een supervised Mac upgrades, updates en overige systeemupdates elk tot 90 dagen uitstellen. In Intune vind je dit in de settings catalog, onder Restrictions bij de instellingen voor Enforced Software Update Delay en de varianten voor Major OS en Minor OS. Advies voor een mkb: grote upgrades 60 tot 90 dagen, puntreleases kort of helemaal niet. Beveiliging wil je juist snel.
2. Stel deadlines in met DDM. Intune werkt voor Mac-updates met Apple’s declaratieve beheer (DDM). Gebruik onder Declarative Device Management de instelling Software Update Enforce Latest met een aantal dagen uitstel en een installatietijd, of Software Update met een vaste doelversie en datum voor een gecontroleerde uitrol. De Mac regelt de rest zelf: melden, downloaden, voorbereiden, installeren. De oude MDM-updatebeleidsregels zijn door Apple afgeschaft, dus begin daar niet meer aan.
3. Maak ringen, ook al heet het anders. Ring 0 is IT, ring 1 is een handvol gewillige collega’s, ring 2 is de rest. Elke ring krijgt een eigen beleid met een latere deadline. En ja, de directeur zit in ring 2. Hoe goed haar gevoel ook is.
4. Test vanaf juni, niet vanaf september. Met AppleSeed for IT krijg je bèta’s en kun je feedback geven aan Apple. Je meldt je aan met een Beheerd Apple-account uit Apple Business. Zet de bèta op een testmac, niet op die van Karin, en controleer vanaf de zomer jullie kritieke apps.
5. Maak een appchecklist. Boekhoudsoftware, VPN-client, beveiligingsagent, printerdrivers, Office. Vraag bij elke leverancier na wanneer ze de nieuwe macOS ondersteunen. Controleer met Systeeminformatie, onder Software en Programma’s, welke apps nog Intel zijn. Na Golden Gate verdwijnt Rosetta voor gewone apps, dus die lijst wil je nu hebben.
6. Laat Background Security Improvements gewoon aan. Je kunt ze in DDM afdwingen, uitzetten of het verwijderen blokkeren. Advies: automatisch installeren aan, verwijderen uit. Snelle fixes zijn precies wat je wil.
7. Vertel het je gebruikers. Eén mailtje in september scheelt tien telefoontjes: “Er is een nieuwe macOS. Je ziet hem nog niet, dat klopt. We testen eerst. Rond december krijg je een melding met een datum.” Zet in je DDM-beleid een link naar een korte uitlegpagina, dan klikken mensen daarop in plaats van op Upgrade.

De les van Ruud

Patch Tuesday was nooit de echte veiligheid. Het echte werk was altijd testen, plannen en vertellen wat er komt. Dat werk is op de Mac precies hetzelfde. Alleen de kalender is anders, en die kun je zelf vullen.

Later die week, bij de koffieautomaat naast de serverkast (waar de dweil inmiddels een eigen haakje heeft), zei Ruud iets wat Sam nooit meer zou vergeten. “Weet je, die Mac. Dat is eigenlijk best prima.” Hij keek even naar zijn mok. “Zeg dat niet tegen Marieke. En Sam, bedankt. Zonder jou had ik nu nog naar een rechtermuisknop gezocht.”

Sam grijnsde. Marieke kwam binnen met een iPad onder haar arm. “Ruud, ik heb een iPad gekocht. Iedereen had er een.”

Wordt vervolgd. Misschien.

Verder lezen: Einde Rosetta: wat gebeurt er met Intel-apps op de Mac, EWS en Apple Mail en Apple Business, Entra ID en Intune voor het mkb.

Dit is aflevering 12 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.