Overwerk voor systeembeheerders vandaag, want naast Microsoft hebben ook Adobe en Oracle een buslading patches uitgebracht. Microsoft verhelpt via 11 Security Bulletins 25 beveiligingslekken in Exchange en Windows, waaronder twee zero-day lekken die al geruime tijd bekend zijn. Vijf van de Security Bulletins zijn als "critical" beoordeeld, vijf zijn "important" en de laatste is "moderate". Voor zeven van de beveiligingsupdates verwacht Microsoft dat hackers binnen een maand een exploit klaar hebben staan. Veel van de lekken zijn namelijk ideaal voor drive-by download aanvallen. Systeembeheerders moeten volgens Microsoft vooral aandacht schenken aan MS10-019, MS10-026 en MS10-027.

MS10-019 heeft betrekking op alle Windows versies en laat aanvallers digitaal gesigneerde uitvoerbare content, zoals PE en CAB bestanden wijzigen, zonder dat de handtekening ongeldig wordt. MS10-026 laat aanvallers een speciaal geprepareerde AVI op websites verstoppen, die vervolgens een buffer overflow op Windows XP, 2000, Server 2003 en Server 2008 veroorzaakt, waardoor het systeem kan worden overgenomen. MS10-027 is alleen een probleem voor Windows 2000 en XP en laat aanvallers willekeurige code uitvoeren, als de gebruiker een gehackte of kwaadaardige website bezoekt.

Adobe
Ook voor Adobe is het vandaag patchdinsdag. De ontwikkelaar verhelpt in Adobe Reader en Acrobat 15 beveiligingslekken die aanvallers in alle gevallen het systeem laten overnemen. Geen één van de vijftien lekken in Adobe Reader 9.3.1 en eerder werd door Adobe zelf ontdekt. Het was voor deze patchronde geheel afhankelijk van externe onderzoekers. Gebruikers krijgen het advies om te updaten naar Adobe Reader en Acrobat 9.3.2, voor wie nog versie 8.x van de PDF-lezers gebruikt is update 8.2.2 uitgekomen. Zoals verwacht is de /launch aanval van de Belgische onderzoeker Didier Stevens niet opgelost.

Oracle
Naast Adobe en Microsoft doet ook Oracle een duit in het zakje. De databasegigant verhelpt 47 kwetsbaarheden in onder andere Oracle Database, Application Server en E-Business Suite. Een lek in de Sun Ray Server Software kreeg de hoogst mogelijk CVSS 2.0 score van 10. Dat betekent dat aanvallers zonder authenticatie en op vrij eenvoudige wijze toegang tot het systeem kunnen krijgen. De volgende patchdinsdag van Oracle is op 13 juli.