Microsoft heeft een eerder vergeten kwetsbaarheid in Internet Explorer voor Windows 10 alsnog gepatcht. Op 13 oktober verscheen Microsoft Security Bulletin MS15-106 voor meerdere kritieke kwetsbaarheden in IE waardoor een aanvaller het onderliggende systeem volledig zou kunnen overnemen.

Verschillende van de verholpen kwetsbaarheden waren door het Zero Day Initiative (ZDI) van beveiligingsbedrijf TippingPoint aan Microsoft gemeld. Onderzoekers kunnen bij het ZDI kwetsbaarheden tegen betaling verkopen, waarna TippingPoint de verantwoordelijke leverancier informeert. Vervolgens worden details over de kwetsbaarheid gepubliceerd als de leverancier het probleem heeft opgelost, of zich niet aan de deadline van het ZDI heeft gehouden.

In dit geval liet TippingPoint na de publicatie van Security Bulletin MS15-106 weten dat Microsoft een kritieke kwetsbaarheid in Internet Explorer 11 voor Windows 10 had gedicht, aangeduid als CVE-2015-6045. De kwetsbaarheid werd echter nergens in het Security Bulletin van Microsoft zelf genoemd, wat voor vragen op Twitter zorgde. Vervolgens haalde TippingPoint de eigen publicatie over de kwetsbaarheid weer weg.

Nu blijkt dat Microsoft het beveiligingslek niet had gepatcht. Donderdag verscheen er namelijk een nieuwe versie van het Security Bulletin waarin Microsoft laat weten dat er een nieuwe cumulatieve update is uitgebracht waarin CVE-2015-6045 wel is verholpen. De update is alleen voor gebruikers van Windows 10, die de nieuwe update ook moeten installeren. Op de meeste systeem gebeurt dit echter automatisch.