Tijdens de patchdinsdag van september heeft Microsoft 12 beveiligingsupdates uitgebracht die in totaal 56 lekken verhelpen. Drie van de verholpen beveiligingslekken waren al voor de updates bekend, waarvan er twee actief werden aangevallen.

In dit geval is er sprake van zogeheten zero day-lekken. De drie kwetsbaarheden bevonden zich in Internet Explorer, Windows, Office en Microsoft Lync. Via het IE-lek zou een aanvaller op afstand willekeurige code kunnen uitvoeren. Deze kwetsbaarheid was al openbaar gemaakt voordat de update verscheen, maar werd niet aangevallen. Dat geldt niet voor de kwetsbaarheden in Office, Windows en Lync. Deze werden wel actief bij aanvallen ingezet.

In het geval van de kwetsbaarheid voor Office, Windows en Lync betreft het een probleem met het verwerken van OpenType fonts. Een aanvaller kon hierdoor zijn rechten op het systeem verhogen. In dit geval moest de aanvaller al toegang tot de computer hebben. De tweede kwetsbaarheid betreft een probleem in Microsoft Office. Door het openen van een kwaadaardig EPS-bestand kon een aanvaller de computer volledig overnemen.

De overige updates die deze maand verschenen zijn voor Exchange Server, Skype for Business Server, Windows, Microsoft Edge en Office. Vijf van de beveiligingsupdates zijn als kritiek beoordeeld, wat inhoudt dat een aanvaller via de verholpen kwetsbaarheden willekeurige code, zoals malware, op de computer kon uitvoeren. De updates zijn te downloaden via Windows Update en Microsoft.com. Op de meeste computers zal het downloaden en installeren automatisch plaatsvinden.