Microsoft heeft tijdens de patchdinsdag van september een actief aangevallen kwetsbaarheid in Windows gepatcht, alsmede 61 andere beveiligingslekken. Eind augustus maakte een onderzoeker een nieuw beveiligingslek in Windows bekend zonder eerst Microsoft te informeren.

Via de kwetsbaarheid kan een aanvaller die al toegang tot het systeem heeft zijn rechten verhogen tot systeemrechten. Een aantal dagen nadat het beveiligingslek openbaar werd gemaakt verscheen er malware die er misbruik van maakte. Naast deze kwetsbaarheid heeft Microsoft ook drie beveiligingslekken verholpen waarvan de details al voor het verschijnen van de patch openbaar waren.

Er zijn echter geen aanvallen waargenomen waarbij er misbruik van is gemaakt, aldus Microsoft. Het gaat om kwetsbaarheden in System.IO.Pipelines, de scripting engine van Internet Explorer en Edge en een ernstig lek in Windows. Deze laatste kwetsbaarheid laat een aanvaller willekeurige code op het systeem uitvoeren als de gebruiker een malafide afbeelding opent.

De overige 58 beveiligingslekken bevonden zich in Internet Explorer, Microsoft Edge, Windows, Microsoft Office, ChakraCore, .NET Framework, Microsoft.Data.OData en ASP.NET. Op de meeste systemen zullen de updates automatisch worden geïnstalleerd.