微软昨日发布紧急补丁，修复IE中的零日漏洞，另外九个IE补丁预计在4月13日的常规补丁更新中发布。这一零日漏洞的攻击态势很疯狂，攻击代码于三周前被公开，企业需要尽快部署这一补丁。

　　微软安全补丁MS10-18称，由于在IE中应用了无效指针，该零日漏洞攻击会让攻击者执行远程代码。攻击者为了让用户下载恶意代码，会通过电子邮件或IM（即时通讯）网络钓鱼的方式来引诱用户上钩。之后，攻击者会拥有和用户同样的访问权限。

　　通信响应集团经理Jerry Bryant在微软响应中心的博客中表示，该零日漏洞只会影响到IE6和IE7，他催促客户尽快将浏览器更新到最新版本，以解决和减轻这类的攻击。

　　Qualys公司的首席技术官Wolfgang Kandek称：“你更新的速度还是不够快，这一补丁需尽快部署。”微软表示他们已检测到针对这一特定漏洞的攻击行为，因此赶在4月的补丁更新排期之前发布了该补丁。

　　该补丁还修复了几个远程代码执行和信息泄露漏洞。大部分都是严重级别的，包括三个IE8漏洞。Kandek认为企业不应延误这些补丁的更新进程。好的安全研究员将会在一周之内通过逆向工程攻击寻求解决办法。

　　Kandek说：“IE8用户也应当尽快部署这一补丁。”

　　Kandek说，IE漏洞和最近CanSecWest安全会议上的浏览器攻击竞赛都表明浏览器攻击发生频率极高，因而应当实时加固并尽快部署补丁。“你也看到了，在浏览器中，有大量的方式来引诱用户下载恶意附件，从而达到控制用户机器的目的。”

　　这一补丁并没有修复CanSecWest pwn2own竞赛中黑客攻击浏览器所用到的漏洞。微软称这一漏洞仍在调查之中。

　　Williams认为，终结“扫描和更新”的管理流程的唯一方式是将计算机环境的各部分进行隔离和分割，例如可将浏览器之类的应用程序从操作系统中隔离开来。

　　Shavlik Technologies的数据和安全团队经理Jason Miller却认为企业应当维持在补丁测试周期阶段，因为补丁的零日漏洞攻击需要和用户交互，这不同于Conficker蠕虫相关的严重漏洞——微软会在额外更新中预先修复。“你的网络内部可能有一个本地应用，而最新的补丁可能还会产生不利影响和破坏。” 然而，Miller认为应当尽快修复这一补丁。“为对抗黑客攻击你应当做好时间安排。”

　　微软MVP Susan Bradley表示她将不会马上在其工作站上部署这一更新，她会先进行一些测试。因为这一更新没有修复CanSecWest bug，Bradley认为不应当仅仅依赖于补丁，还必须采取其它的方式来做好安全工作。她通过电邮表示：“例如不要以管理员身份运行系统，要在边缘使用Web过滤，使用www.opendns.com之类的服务来阻止威胁类的网站。”

　　公告指出，启动了自动更新的用户不需要手动来安装这一补丁。微软建议那些手动更新的用户尽快部署这一更新。

　　最新的安全公告称，纳入严重级别的IE支持版本如下：IE 5.01、IE 6 Service Pack 1、Windows客户端上的IE6、IE 7以及Windows客户端上的IE 8。Windows服务器上的IE 6更新属于重要级别，Windows服务器上的IE8更新列入了中度级别。