Microsoft điều chỉnh phản hồi về công bố lỗ hổng Windows 0-day
"Microsoft issued a revised statement after backlash over its response to a researcher publishing Windows zero-days and exploit code. The company said it has no intention of pursuing legal action against people conducting or publishing security research, while still reserving referrals for malicious activity; the article does not describe a specific CVE or patch, but notes multiple unpatched Windows flaws and alleged in-the-wild exploitation."
Ảnh hưởng bảo mật đáng kể do nhiều lỗ hổng Windows chưa vá bị công khai và khai thác thực tế; rủi ro tăng nếu mã khai thác tiếp tục bị phát tán.
Tác động vận hành ở mức trung bình đến cao; niềm tin cộng đồng bảo mật bị ảnh hưởng, có thể làm giảm số lượng báo cáo lỗ hổng và tăng nguy cơ tấn công chưa được phát hiện.
Sau khi nhận nhiều chỉ trích từ cộng đồng bảo mật về cách xử lý các báo cáo lỗ hổng Windows 0-day công khai, Microsoft đã phát hành thông báo mới, khẳng định không có ý định thực hiện hành động pháp lý đối với các cá nhân thực hiện hoặc công bố nghiên cứu bảo mật. Tuy nhiên, công ty vẫn giữ quyền phối hợp với cơ quan chức năng nếu phát hiện hoạt động độc hại gây hại khách hàng. Sự việc bắt nguồn từ việc một nhà nghiên cứu đã công bố nhiều lỗ hổng chưa vá cùng mã khai thác, một số đã bị khai thác thực tế. Phản ứng ban đầu của Microsoft bị đánh giá là có thể gây hiệu ứng tiêu cực cho cộng đồng nghiên cứu bảo mật, làm giảm động lực báo cáo lỗ hổng. Trong thông báo mới, Microsoft thừa nhận "một số tương tác chưa đạt kỳ vọng" và cam kết tiếp thu ý kiến phản hồi. Tuy nhiên, công ty không xác nhận các cáo buộc cụ thể liên quan đến việc xóa tài khoản báo cáo, từ chối trả thưởng hay xử lý thông tin. Microsoft tiếp tục nhấn mạnh quan điểm rằng lỗ hổng nên được báo cáo riêng tư để có thời gian khắc phục trước khi công khai mã khai thác. Sự kiện này làm nổi bật thách thức trong cân bằng giữa bảo vệ người dùng và hỗ trợ nghiên cứu bảo mật độc lập.