Le prime patch Microsoft del 2015 si concentrano su Windows e trascurano del tutto il browser Internet Explorer. Un'anomalia che ha sorpreso molti addetti ai lavori, dato che finora quasi tutti i bollettini mensili del colosso di Redmond avevano incluso aggiornamenti per il browser, a lungo obiettivo di attacchi da parte dei cyber criminali.
Questa volta invece le correzioni riguardano le edizioni desktop e server di Windows, fra cui Vista, Windows 7, Windows 8 e 8.1, Windows RT e Windows Server 2003, 2008 e 2012. La vulnerabilità contrassegnata da un livello di gravità critico è quella con la sigla MS15-004. Riguarda il protocollo Telnet che serve per connettere i terminali a computer remoti ed è presente su tutti i sistemi Windows.
Gli amministratori di sistema devono inoltre prestare attenzione alla vulnerabilità di Windows 8.1 pubblicata dai ricercatori di Google (MS15-004) nonostante l'azienda di Redmond avesse chiesto a Google di posticipare la pubblicazione di due giorni per darle il tempo di rendere disponibile la patch. La vicenda è stata oggetto di attrito fra i due colossi IT, anche perché l'anticipazione avrebbe potuto creare una falla zero day. In ogni caso adesso è tutto risolto e la falla non era di livello critico: avrebbe consentito a una persona con i diritti di utente di eseguire azioni che normalmente sono riservate all'amministratore.
Vale inoltre la pena prestare attenzione alla falla del Network Policy Server presente nelle edizioni server di Windows (MS15-004). "Un utente non autenticato potrebbe inviare un particolare tipo di richiesta al server di autenticazione di Windows e causare un denial of service, in modo che altri utenti non possano accedere" ha spiegato Amol Sarwate, direttore della ricerca di vulnerabilità in Qualys.
Ricordiamo infine che c'è una seconda grande novità che caratterizza questo avvio di anno: Microsoft ha comunicato che d'ora in poi non comunicherà più a livello globale i contenuti dei bollettini di sicurezza prima della loro pubblicazione effettiva. La Advance Notification a cui eravamo abituati è stata definitivamente abolita, e le informazioni saranno disponibili solo per chi ha sottoscritto un contratto Premier o per chi collabora ai programmi di sicurezza.
Un cambio di rotta che è stato accolto con una reazione ampiamente negativa da parte di professionisti della sicurezza, ricercatori e consumatori che chiedono "più trasparenza".