Microsoft a annoncé un patch d’urgence pour corriger un grave défaut qui aurait permis aux pirates de désactiver, voire de détourner, le logiciel antivirus de Microsoft avec un simple tweet malveillant.
Le patch arrive moins de 24 heures avant les mises à jour mensuelles programmées par Microsoft. Le fait que la société ne voulait pas attendre les retours des utilisateurs concernant la gravité de cette faille, qui, d’ailleurs, n’avait été découverte que quatre jours auparavant par des ingénieurs en sécurité de chez Google.
De quelle faille s’agit-il ?
La faille concerne la façon dont le moteur de détection de malware de Microsoft, partagé par Microsoft Security Essentials et Windows Defender, analyse JavaScript, un langage décodage commune utilisée dans les pages Web et d’autres applications.
Une commande JavaScript malveillante alimentée dans l’analyseur de code du moteur de détection de malware de la manière la plus appropriée pourrait affecter le moteur de détection de malware. Le JavaScript pourrait arriver dans une page Web, un message instantané, un tweet, un courrier électronique, ou tout autre format qui serait surveillé par un logiciel antivirus.
Une faille qui se corrige facilement
« Vous savez qu’une faille de sécurité est sérieuse si Microsoft émet un patch correctif quelques heures seulement avant que la société ne programme de publier son pack de mise à jour mensuelle », a noté le blogueur indépendant Graham Cluley sur le blog de sécurité Bitdefender.
Les utilisateurs de Windows 7 et des versions ultérieures n’ont pas besoin de faire quoi que ce soit. Le logiciel antivirus de Microsoft, appelé Microsoft Security Essentials sous Windows 7 et Windows Defender sur Windows 8.1 et Windows 10, se mettra automatiquement à jour. Cependant, toute personne utilisant Microsoft Security Essentials sur Windows XP ou Windows Vista doit immédiatement passer à un autre fournisseur de programmes antivirus, car Microsoft ne fournit plus de correctifs de sécurité sur ces deux systèmes d’exploitation.