Microsoft heeft tijdens de eerste patchdinsdag van 2022 een kritieke kwetsbaarheid in Windows verholpen die een computerworm mogelijk maakt. Het beveiligingslek, aangeduid als CVE-2022-21907, bevindt zich in de http protocol stack en maakt zonder enige interactie van gebruikers remote code execution mogelijk.

Door het versturen van een speciaal geprepareerd netwerkpakket naar een kwetsbare server die gebruikmaakt van deze stack (http.sys) voor het verwerken van pakketten kan een aanvaller zijn code uitvoeren en het systeem overnemen. Op een schaal van 1 tot en met 10 wat betreft de ernst is het beveiligingslek met een 9,8 beoordeeld. Volgens Microsoft, dat door onderzoeker Mikhail Medvedev over het lek werd geïnformeerd, is misbruik van de kwetsbaarheid "waarschijnlijk". Het techbedrijf raadt organisaties dan ook aan om het patchen van servers prioriteit te geven.

In het geval van Windows Server 2019 en Windows 10 versie 1809 staat de HTTP Trailer Support-feature, waarin de kwetsbaarheid aanwezig is, standaard niet ingeschakeld. Microsoft heeft updates beschikbaar gemaakt voor Windows 10, Windows 11, Server 2019, Server 2022 en Server 20H2. Vorig jaar verhielp Microsoft ook al een beveiligingslek in de http protocol stack die 'wormable' was.