Nel 2017 gli esperti dei Mimecast Research Labs scoprirono una falla nel modo in cui Word tratta gli oggetti OLE, in particolar modo quelli generati dal vecchio Equation Editor.

Allora Microsoft rilasciò una patch, ma agli scopritori della vulnerabilità rimase il dubbio che ci fosse un problema più serio nella gestione degli oggetti OLE che avrebbe dovuto essere risolto.

Ora, la scoperta di una nuova falla sembra dar loro ragione: un gruppo di hacker apparentemente di origini serbe ha iniziato a sfruttare quella che è risultata essere una gestione scorretta degli errori di tipo integer overflow nei file in formato OLE da parte di Word.

Spunti di approfondimento:

Quarant'anni di Microsoft Word

Addio Office, benvenuta Microsoft 365

Grave falla in Windows, occhio ai documenti di Word

Arriva LibreOffice 7.1 Community ma è importante non usarlo in azienda

Grazie a questo difetto diventa possibile - spiegano i ricercatori di Mimecast - «aggirare diverse soluzioni di sicurezza progettate al fine di proteggere i dati, comprese alcune importanti tecnologie di sandbox e antimalware».

Microsoft, naturalmente, è stata subito informata del problema. L'azienda ha però risposto di non aver intenzione di rilasciare immediatamente una patch (o quantomeno di mettersi con urgenza al lavoro sullo sviluppo di una correzione).

Nonostante le conseguenze nefaste dovute alla presenza della falla, essa «non porta a corruzione della memoria o all'esecuzione di codice». Pertanto, la realizzazione della patch è considerata di bassa priorità e un eventuale rilascio di una correzione potrà avvenire soltanto in un imprecisato futuro.

Gli utenti per il momento non possono quindi fare altro che porre molta attenzione ai documenti che includono oggetti OLE (una tecnologia comunque meno usata oggi che in passato).