Microsoft waarschuwt gebruikers van Internet Explorer voor een zero-day beveiligingslek waardoor aanvallers kwetsbare systemen volledig kunnen overnemen. De kwetsbaarheid is aanwezig in Internet Explorer 6 voor Windows 2000 en Internet Explorer 6 en 7 voor Windows XP, Server 2003, Vista en Server 2008. Dat betekent dat alleen gebruikers van IE 5.01 en IE 8 geen risico lopen. Het probleem wordt veroorzaakt door een invalide pointer in IE, waardoor het in sommige gevallen mogelijk is om een eerder verwijderd CSS/Style object aan te roepen. Dit kan er uiteindelijk voor zorgen dat Microsoft's browser code van een aanvaller uitvoert.

De softwaregigant is nog niet op de hoogte van aanvallen, hoewel exploitcode voor de kwetsbaarheid al wel is gepubliceerd. Volgens Symantec is de exploit op dit moment nog niet echt betrouwbaar. "Maar we verwachten in de nabije toekomst een volledig werkende en betrouwbare exploit", aldus de beveiliger. Aanvallers kunnen de exploit op kwaadaardige of gehackte websites verstoppen om bezoekers via een drive-by download aanval te infecteren.

Patch
In afwachting op een patch adviseert Microsoft gebruikers om naar IE 8 over te stappen, daarnaast beperkt de Protected Mode in Internet Explorer 7 op Windows Vista de impact van het lek. Gebruikers die niet willen overstappen moeten de Internet zone security setting naar "High" zetten, of Active Scripting binnen de Internet en Local intranet security zones uitschakelen.