Mentre gli utenti sono costretti ai soliti disagi provocati dallo scadente lavoro di sviluppo dedicato al codice di Windows, i cyber-criminali possono sfruttare le vulnerabilità di sicurezza che proliferano all’interno del suddetto codice. Microsoft ha infatti lanciato l’ennesimo allarme su due nuove falle zero-day, un problema estremamente pericoloso e già attivamente sfruttato dai criminali di cui sopra per attacchi in-the-wild.
Le vulnerabilità sono state classificate con il massimo livello di severità (critico), e secondo l’advisory di Microsoft si tratta di falle nella gestione dei font da parte del componente Adobe Type Manager Library; sfruttando i bug, un malintenzionato può distribuire un font PostScript appositamente malformato per prendere il controllo del sistema ed eseguire codice malevolo da remoto.
Per sfruttare le falle non è necessario un lavoro particolarmente complicato, avverte Microsoft, basta infatti spingere l’utente all’apertura di un documento infetto o persino alla visualizzazione in anteprima tramite Esplora Risorse. Tutte le versioni di Windows attualmente supportate (assieme a Windows 7) risultano vulnerabili.
Microsoft ha già confermato di essere al lavoro per una patch correttiva, e che le vulnerabilità sono già attivamente sfruttate dai cyber-criminali per una serie di attacchi limitati nello scopo e negli obiettivi. In attesa degli aggiornamenti, Redmond consiglia di disabilitare il riquadro di anteprima in Explorer per ridurre al minimo i possibili rischi.