米べいマイクロソフトは2007年ねん10月がつ10日とおか（米国べいこく時間じかん）、Internet Explorer 7（IE7）をインストールしたWindows XPおよびWindows Server 2003の環境かんきょうには、危険きけんな脆弱ぜいじゃく（ぜいじゃく）性せいが存在そんざいすることを明あきらかにした。細工ざいくが施ほどこされたリンク（URL）をクリックしたり、悪質あくしつなWebページやファイルを開ひらいたりするだけで被害ひがいに遭あう恐おそれがある。修正しゅうせいパッチ（セキュリティ更新こうしんプログラム）は未み公開こうかい。

　今回こんかいの脆弱ぜいじゃく性せいは、URLの処理しょりに関かんするもの。細工ざいくが施ほどこされたURLを読よみ込こむと、URLに含ふくまれるコマンド（プログラム）などを実行じっこうしてしまう。そういったURLが含ふくまれるWebページやファイルを開ひらくだけでも、悪質あくしつなコマンドを実行じっこうされて被害ひがいに遭あう危険きけん性せいがある。

　本来ほんらい、IEおよびWindowsにはチェック機構きこうがあり、URLに含ふくまれるコマンドを実行じっこうすることはない。IE6を使つかっている場合ばあいや、IE7とWindows Vistaの組くみ合あわせには今回こんかいの脆弱ぜいじゃく性せいは存在そんざいしない。しかし、IE7をWindows XPなどにインストールすると、Windows XPなどのコンポーネントに修整しゅうせいが加くわわり、チェック機構きこうが適切てきせつに働はたらかなくなる。これが、今回こんかいの脆弱ぜいじゃく性せいである。

　URLを読よみ込こむアプリケーションの中なかには、Windowsに渡わたす前まえにチェックして、不正ふせいなURLはWindowsに渡わたさないものも存在そんざいする。そういったアプリケーションを通つうじては、今回こんかいの脆弱ぜいじゃく性せいを悪用あくようすることはできない。

　しかしながら、チェックをしない、あるいはチェックが不十分ふじゅうぶんな場合ばあいには、そのアプリケーション経由けいゆで、悪質あくしつなURLがWindowsに渡わたされる場合ばあいがある。セキュリティベンダーであるデンマークのセキュニアによれば、以下いかのアプリケーションが該当がいとうするという。

  • Firefox 2.0.0.5
  • Netscape Navigator 9.0b2
  • mIRC 6.3
  • Adobe Reader／Acrobat 8.1およびそれ以前いぜん
  • Outlook Express 6
  • Outlook 2000

　例たとえばAdobe Reader/Acrobatでは、細工ざいくが施ほどこされたURLを含ふくむPDFファイルを開ひらくだけで、中なかに仕込しこまれた悪質あくしつなコマンドを実行じっこうされる恐おそれがある。この問題もんだいでは、「不正ふせいなURLをWindowsに渡わたしてしまうこと」が、Adobe Reader/Acrobatの脆弱ぜいじゃく性せいであるとして、米べいアドビシステムズが10月5日にち付づけで情報じょうほうを公開こうかい。同社どうしゃでは、10月がつ末まつまでに修正しゅうせい版ばんを公開こうかいするとしている。だが前述ぜんじゅつのセキュニアでは、この問題もんだいはAdobe Reader/Acrobatの脆弱ぜいじゃく性せいではなく、Windowsの脆弱ぜいじゃく性せいであるとしている。

　今回こんかいの脆弱ぜいじゃく性せい自体じたいは、2007年ねん7月がつに明あきらかになっていたものの、当初とうしょはそれほど話題わだいにならなかった。しかしその後ご、悪用あくようが容易よういであることや、さまざまなアプリケーション経由けいゆで悪用あくようできることなどが明あきらかになってきた。そこで今回こんかい、マイクロソフトでは改あらためて情報じょうほうを公開こうかいし、注意ちゅうい喚起かんきしたと考かんがえられる。

　同社どうしゃでは、今回こんかいの脆弱ぜいじゃく性せいを解消かいしょうする修正しゅうせいパッチを開発かいはつ中ちゅう。完成かんせいして検証けんしょうが終了しゅうりょうすれば公開こうかいする予定よていだ。ユーザーからの要望ようぼうによっては、定例ていれいのパッチ公開こうかい日び（米国べいこく時間じかん毎月まいつき第だい2火曜日かようび）以外いがいにも公開こうかいする可能かのう性せいがあるとしている。

　マイクロソフトでは、現時点げんじてんでの回避かいひ策さくとして「信頼しんらいできないリンクはクリックしない。信頼しんらいできないWebサイトにはアクセスしない」ことを勧すすめている。