据McAfee安全研究人员称，微软上周修补了Windows系统的一个漏洞，但却遗漏了另一个被黑客继续利用的漏洞。
周二，微软证实，网络犯罪分子正在利用“零日”漏洞，即尚未修复的漏洞，利用精心设计的PowerPoint文件来攻击受害者。
该公司在一份声明中说:“微软意识到一个漏洞影响到所有支持的微软Windows版本，不包括Windows Server 2003。安全咨询昨天。“目前，我们意识到有有限的、有针对性的攻击试图通过微软PowerPoint来利用这个漏洞。”
有趣的是什么最新的Windows零日它与微软上周修补的一个漏洞相似(如果不是相关的话)。在公告ms14 - 06010月14日，微软修复了CVE-2014-4114漏洞，该漏洞也存在于Windows的OLE代码中。
与最新的漏洞一样，CVE-2014-4114也被恶意PowerPoint文件所利用。当恶意文件被打开时——攻击者将它们附加到电子邮件中，利用演示文稿作为诱饵，诱使用户打开它们——恶意软件的有效载荷就被执行了。黑客们也利用了同样的过程来利用零日。
微软还用同样的描述“有限的、有针对性的攻击”来描述CVE-2014-4114正在进行的攻击。
McAfee的团队是向微软报告这一漏洞的两家公司之一。McAfee的策略是，微软应该在上周CVE-2014-4114的代码审查和补丁创建过程中发现这一最新漏洞。
“在我们的调查中，我们发现微软的官方补丁(MS14-060, KB3000869)是不够健壮的>李海飞(音译)写道McAfee的博客（重点补充道）.换句话说，即使应用了补丁，攻击者仍可能利用该漏洞。安装了官方补丁的用户仍然有风险。”
李彦宏是微软表彰的两名McAfee研究人员之一，他们报告了零日事件。谷歌安全团队的三名成员也因提交了漏洞报告而受到感谢。
McAfee为李彦宏的博客所写的标题——“沙虫Zero-Day新漏洞可以绕过官方补丁”——也强调了微软的监督，李彦宏和他的同事孙冰想出一个概念验证漏洞的速度也是如此。10月17日，就在微软修补CVE-2014-4114的三天之后，李和孙结束了他们的调查。
对这两个漏洞的利用存在差异。根据赛门铁克在美国，利用CVE-2014-4114进行的攻击更为隐秘，因为这些攻击绕过了UAC(用户帐户控制)，即在允许Windows执行某些任务(如运行软件)之前，需要用户授权的弹出警告。
根据微软的说法，一些攻击(尽管不是全部)是利用零日进行的做触发UAC。
赛门铁克还声称，有证据表明，至少有两个黑客组织在利用零日:一个名为“沙虫”的组织，据称总部设在俄罗斯，另一个名为“Taidoor”，此前曾针对台湾企业和政府机构。
CVE-2014-4114和最新的漏洞(标记为CVE-2014-6352)可能都是犯罪分子最近发现的，因为前者在8月份首次被发现被利用，而后者则在上个月突然出现在赛门铁克的雷达上。
在其咨询，微软建议客户应用自动化的“修复”工具来阻止已知的攻击，如果有必要，采取其他步骤，包括使用EMET 5.0(增强缓解体验工具包)来加固PowerPoint的防御。
这篇题为“微软错过了Windows漏洞，黑客错过了补丁”的文章最初是由《计算机世界》 ．