Het kan nog wel even duren voordat een zeer ernstig beveiligingslek in Java wordt gepatcht, waardoor een Duitse onderzoek besloot een onofficiële update te ontwikkelen. Beveiligingsbedrijf FireEye liet eerder weten dat er een nieuwe zero-day kwetsbaarheid is ontdekt die aanvallers actief misbruiken. De volgende patchcyclus van Oracle staat echter gepland voor 16 oktober, wat betekent dat veel systemen op internet lange tijd kwetsbaar blijven.

Aangezien Oracle zelden met een noodpatch komt, besloot de Duitse beveiligingsonderzoeker Michael 'mihi' Schierl een eigen patch te ontwikkelen. Schierl onderzocht eerder verschillende Java-lekken.

Zero-day
Beveiligingsonderzoekster Mila Parkour merkt op dat het om een onofficiële patch gaat die zeer beperkt is getest. Volgens haar is het beter om Java in de browser uit te schakelen of Chrome te gebruiken. Wie in een bedrijf werkt waar Java vereist is, kan haar een e-mail sturen. De update is alleen voor bedrijven bedoeld, thuisgebruikers krijgen het advies om de plug-in uit te schakelen.

Tevens laat Parkour weten dat een werknemer van beveiligingsbedrijf Immunity op 10 augustus via Twitter meldde dat er een Java zero-day exploit aan het beveiligingsprogramma van het bedrijf was toegevoegd. Klanten van het beveiligingsbedrijf krijgen zo inzicht in nieuwe lekken en kunnen zo hun eigen systemen beter beschermen. Het is nu de vraag of het om dezelfde Java zero-day kwetsbaarheid gaat, of dat er twee zero-days in Java aanwezig zijn.

Update 15:35
Parkour laat in een update weten dat de eerste exploit niet op Google Chrome werkte, maar aangezien de makers van Metasploit beweren dat ook Chrome-gebruikers kwetsbaar zijn, is het advies om Chrome te gebruiken ingetrokken.