مایکروسافت برای دو آسیب‌پذیری جدید وصله‌های امنیتی خارج از برنامه منتشر می‌کند که یکی از آن‌ها آسیب‌پذیری روز-صفرم بحرانی اینترنت اکسپلورر است که مجرمان سایبری به‌طور فعال از آن بهره‌برداری می‌کنند. این آسیب‌پذیری که توسط Clément Lecigne از گروه تجزیه و تحلیل تهدید گوگل کشف و با شناسه‌ی CVE-2019-1367 ردیابی شد، یک آسیب‌پذیری اجرای کد از راه دور در روش مدیریت اشیای حافظه در اینترنت اکسپلورر توسط موتور اسکریپت‌نویسی مایکروسافت است.
این آسیب‌پذیری یک مسأله‌ی خرابی حافظه است که به یک مهاجم راه دور اجازه می‌دهد که تنها با متقاعد کردن کاربر برای مشاهده‌ی یک صفحه‌ی دست‌کاری‌شده‌ی مخرب در هنگام استفاده از اینترنت اکسپلورر، کنترل رایانه‌ی شخصی او را به دست گیرد.
مایکروسافت در مشاورهنامهی خود بیان می‌کند که مهاجمی که با موفقیت از این آسیب‌پذیری بهره‌برداری می‌کند، می‌تواند مانند کاربر فعلی به همان مجوزهای کاربری دست یابد. درصورتی‌که کاربر فعلی با مجوزهای کاربر مدیر وارد شود، مهاجمی که با موفقیت از این آسیب‌پذیری بهره‌برداری می‌کند، می‌تواند کنترل یک سیستم آسیب‌دیده را به دست گیرد.
این آسیب‌پذیری اینترنت اکسپلورر نسخه‌های ۹، ۱۰، ۱۱ را تحت تأثیر قرار می‌دهد و کاربران همیشه باید به‌روزرسانی‌های منتشرشده برای هر یک از برنامه‌های نصب‌شده را اعمال کنند. به شدت به کاربران توصیه می‌شود که از مرورگرهای وب امن‌تر مانند گوگل کروم و موزیلا فایرفاکس به‌عنوان جایگزینی برای اینترنت اکسپلورر استفاده کنند.
مایکروسافت بیان کرد که این آسیب پذیری به‌طور فعال توسط مهاجمان بهره‌برداری می‌شود اما جزئیات بیشتری درباره‌ی این بهره‌برداری ارائه نداد. گوگل به‌تازگی یک پویش نفوذ گسترده‌ی آیفون را شناسایی کرده است که از دو سال پیش کاربران را هدف قرار می‌دهد، اما اپل این شرکت فناوری را به بزرگ‌نمایی این بهره‌برداری و ارائه‌ی اطلاعات نادرست متهم کرد.
مایکروسافت همچنین یک وصلهی امنیتی خارج از برنامه‌ی دیگر برای وصلهی آسیب‌پذیری منع سرویس در مایکروسافت دیفندر منتشر کرد. مایکروسافت دیفندر یک موتور ضد بدافزار است که با ویندوز ۸ و نسخه‌های بعدی سیستم عامل ویندوز همراه است. این آسیب‌پذیری که توسط Charalampos Billinis از F-Secure و Wenxu Wu از آزمایشگاه امنیتی Tencent کشف و با شناسه‌ی CVE-2019-1255 ردیابی شد، در روش مدیریت فایل ویندوز دیفندر و Malware Protection Engine مایکروسافت نسخه‌ی ۱٫۱٫۱۶۳۰۰٫۱ و قبل‌تر از آن وجود دارد.
براساس مشاورهنامهی منتشرشده توسط مایکروسافت، یک مهاجم می‌تواند از این آسیب‌پذیری بهره‌برداری کند تا مانع از اجرای باینری‌های سیستمی قانونی توسط حساب‌های قانونی شود، اما به منظور بهره‌برداری از این آسیب‌پذیری، مهاجم ابتدا باید به اجرای کد در سیستم قربانی دست یابد.
به‌روزرسانی امنیتی مایکروسافت دیفندر خودکار است و در نتیجه تا ۴۸ ساعت پس از انتشار از طریق Malware Protection Engine مایکروسافت به‌طور خودکار اعمال خواهد شد. این آسیب‌پذیری در Malware Protection Engine مایکروسافت نسخه‌ی ۱٫۱٫۱۶۴۰۰٫۲ رفع شده است.
از آن‌جا که به‌روزرسانی‌های امنیتی بخشی از به‌روزرسانی‌های امنیتی مایکروسافت هستند و یکی از آن‌ها آسیب‌پذیری بهره‌برداری‌شده را رفع می‌کند، به کاربران توصیه می‌شود تا هر چه سریع‌تر این به‌روزرسانی را اعمال کنند.
