Исследователь выкладывает Windows zero‑day после конфликта с Microsoft

Исследователь по кибербезопасности опубликовал новую серьёзную уязвимость нулевого дня в Windows, заявив, что решился на этот шаг после многолетнего конфликта с Microsoft. По словам специалиста, взаимодействие с компанией превратилось для него в череду унизительных процедур, которые он описывает как «детские игры» со стороны корпорации.

Речь идёт о втором случае за последнее время, когда тот же исследователь обнародует критическую брешь в системе безопасности Windows, не дожидаясь её исправления. Уязвимость позволяет злоумышленнику повысить привилегии в системе, что делает её привлекательной для атакующих — особенно на корпоративных машинах.

Исследователь утверждает, что пытался несколько лет передавать данные о найденных проблемах официальными каналами, но, по его словам, Microsoft не только затягивала процесс, но и «вытирала об него ноги», создавая препятствия, придираясь к формулировкам и затягивая рассмотрение. Он говорит, что корпорация якобы угрожала испортить ему репутацию, если он будет «слишком настойчив». «Они сказали, что разрушат мою жизнь, — и они это сделали», — заявил специалист.

В компании, как обычно, не дают развернутых комментариев до выхода обновлений и не подтверждают достоверность опубликованных технических деталей. Тем не менее именно Microsoft традиционно призывает исследователей соблюдать порядок ответственного раскрытия уязвимостей, чтобы не подвергать пользователей риску.

Публикация zero-day до выхода патча ставит под угрозу миллионы компьютеров, работающих на поддерживаемых версиях Windows. Эксперты по безопасности считают, что такие действия исследователя могут быть результатом эмоционального выгорания и конфликта с корпоративной бюрократией, но признают, что сама проблема могла бы быть решена быстрее.

По мнению специалистов, инцидент поднимает старый вопрос: насколько эффективно работают программы вознаграждений за найденные уязвимости и насколько адекватно корпорации взаимодействуют с независимыми исследователями. Многие отмечают, что крупные компании зачастую требуют от специалистов соблюдать сложные правила отчётности, в то время как сами нередко задерживают реакцию.

Пока Microsoft готовит патч, эксперты советуют администраторам ограничить локальный доступ к машинам и усилить контроль за подозрительной активностью. Однако полноценная защита станет возможной только после выхода официального обновления.

Скандал продолжает набирать обороты: публикация технических деталей делает уязвимость потенциально эксплуатируемой уже сейчас, а обвинения исследователя в сторону корпорации вызывают новую волну критики в адрес Microsoft, где и без того давно обсуждают проблемы с качеством обновлений и безопасностью Windows.