De recente "zero-day" lekken mogen dan door Microsoft gepatcht zijn, een nieuw lek is alweer ontdekt. Het nieuwe lek ontstaat door de manier waarop de browser "nested OBJECT tags" verwerkt. Volgens Microsoft, dat de kwetsbaarheid aan het onderzoeken is, kan het ervoor zorgen dat de browser crashed of vastloopt. Michal Zalewski, de ontdekker van het lek, denkt dat dit ook gebruikt kan worden voor het uitvoeren van remote code, hoewel dit lastig om te doen is.

Het Deense Secunia heeft het lek als "zeer ernstig" bestempeld en zou ervoor kunnen zorgen dat een aanvaller het systeem overneemt, als hij de kwetsbare gebruiker zover weet om een kwaadaardige website te bezoeken. Ook het Franse Security Incident Response Team waarschuwt dat een aanvaller door het lek willekeurige code kan uitvoeren.

Zalewski heeft Microsoft niet gewaarschuwd, omdat hij de manier afkeurt waarop de softwaregigant met het patchen van lekken omgaat. "Ook al kan ik dit niet veranderen, ik kan deze ongehoorzaamheid veroorloven zolang er geen direct gevaar is voor andere partijen".

Microsoft zou dreigingen vaak bagatelliseren, het doet niet op een zinnige manier mee aan de onderzoeksgemeenschap en ze geven valse berichten af, zoals wanneer een onderzoeker een lek meldt, en dit volgens Microsoft op een verkeerde manier is gedaan, terwijl het juist de rijke softwaregigant is die de lekken niet opspoort en verhelpt, zegt Zalewski. Als oplossing wordt gebruikers aangeraden om geen onbetrouwbare websites te bezoeken, hoewel het gebruiken van een andere browser ook werkt.

Update: Secunia komt uit Denemarken