Ogni mese, le principali aziende rilasciano in genere aggiornamenti per migliorare ulteriormente le prestazioni dei dispositivi. Approfittano anche di questa occasione per correggere eventuali problemi di sicurezza scoperti, garantendo così la protezione degli utenti in ogni momento. Alcuni anni fa, Google ha creato Project Zero, un team di ricerca dedicato all'individuazione di falle di sicurezza sia nelle applicazioni che nei sistemi operativi . Queste falle vengono segnalate tempestivamente al produttore, che ha 90 giorni di tempo per risolverle prima del rilascio ufficiale dell'aggiornamento: una pratica che mette a rischio gli utenti, poiché i criminali informatici possono sfruttarla per ottenere informazioni personali.
A prescindere dalle norme di Google, queste due vulnerabilità sono di tipo zero-day, ovvero presenti fin dalla creazione dell'applicazione e non rilevate dallo sviluppatore durante la fase di sviluppo dell'applicazione o del sistema operativo. Di conseguenza, le applicazioni o i sistemi interessati sono stati e continuano ad essere vulnerabili agli attacchi finché il problema non viene risolto.
Secondo Project Zero, questa vulnerabilità è molto facile da sfruttare, in quanto richiede solo 17 righe di codice HTML incentrate sulle variabili rcx e rax, che consentirebbero ad attori malintenzionati di controllare il nostro browser e quindi di accedere ai nomi utente e alle password che abbiamo salvato in Internet Explorer o Microsoft Edge.
Questa volta, i browser interessati sono Internet Explorer e Microsoft Edge. Come accennato all'inizio di questo articolo, Project Zero è stato costretto a informare gli utenti di questa vulnerabilità poiché è scaduto il periodo di grazia di 90 giorni concesso a Microsoft per risolvere il problema. Secondo MSPowerUser, il modo migliore per evitare qualsiasi tipo di attacco che potrebbe prendere il controllo del browser è eseguirlo come utente ospite , ovvero senza privilegi.