L'aggiornamento di ottobre dei software Microsoft porta con sé diverse novità. Non solo il numero dei bollettini, 11, che lo includono tra i più corposi del 2008, ma anche alcune innovazioni nella modalità di diffusione e presentazione dei dati che migliorano le informazioni per gli utenti e la sicurezza globale per i sistemi e i software di Redmond. Cominciamo dalle vulnerabilità.
I bollettini pubblicati includono in totale 20 vulnerabilità. Colpiti tutti i prodotti della linea Windows (da Windows 2000 a Windows Server 2008) anche se le vulnerabilità critiche sono relegate alle versioni 2000 ed XP; colpita in diversa maniera la suite Office (sia per Windows sia per Mac), mentre un bollettino è esplicitamente dedicato a Microsoft Host Integration Server, la soluzione di integrazione in soluzioni Microsoft dei servizi per aziende. In particolare gli errori coinvolgono Internet Explorer, Active Directory, Excel, Sharepoint e una manciata di servizi.
Come al solito è possibile scaricare automaticamente tutti gli aggiornamenti senza attendere la notifica automatica di Windows navigando con il proprio Internet Explorer sul sito Microsoft Update oppure avviare dal menu Start di Windows Vista il programma Windows Update. Microsoft Update provvede ad aggiornare anche i programmi compresi nella suite Office il cui download è possibile anche da Office Update.
Particolarmente corposo il bollettino MS08-058 che corregge ben 6 problemi di Internet Explorer nelle versioni dalla 5 alla 7 compresa (gli errori sono critici sono nelle versioni 5.01 e 6 se installati su Windows 2000). Gli errori sono dei più vari: un errore nella validazione del codice HTML che offre la possibilità di installare codice nocivo semplicemente facendo visualizzare ad un utente una pagina Web a diversi errori di validazione dell'origine degli script che possono aprire le porte ad un attacco cross domain. Di queste vulnerabilità, solo una era già conosciuta mentre per nessuna sono stati rintracciati exploit funzionanti.
Il servizio Active Directory viene corretto nel bollettino MS08-060, anch'esso segnato con il massimo del livello di pericolosità. L'errore, che è rintracciabile solo in Windows 2000 Server, riguarda il metodo di interrogazione del servizio LDAP che garantisce l'accesso ai servizi di directory della rete basata su Windows. Per sfruttare l'errore basta inviare dei pacchetti di dati appositamente creati per causare la vulnerabilità.
Critiche, ma solo per Excel 2000, anche le vulnerabilità del bollettino MS08-057. In questo caso i problemi rintracciati nel noto programma per la gestione dei fogli di calcolo sono tre e sono tutti sfruttabili inviando e facendo aprire ad un utente dei file Excel formattati ad arte per sfruttare le vulnerabilità. Meno pericolosa la vulnerabilità del bollettino MS08-059 che, sebbene critica poiché facilmente sfruttabile anche da un utente remoto senza l'intervento dell'utente, riguarda un software poco diffuso: Microsoft Host Integration Server.
Gli errori importanti, che riguardano alcuni servizi e funzioni di Windows, possono essere portati a successo solo se sfruttati da utenti locali o da sessioni remote di utenti autenticati al sistema.
Le novità sono due. La prima, più visibile perché riguarda direttamente gli utenti e gli amministratore di sistema che devono interpretare la pericolosità dei problemi segnalati, è l'Exploitability index, ossia una tabella riepilogativa che indica, con una scala da uno a tre, la possibilità che una particolare vulnerabilità venga sfruttata da exploit dopo il rilascio delle informazioni. Il livello più basso, livello 1, indica che la produzione di un exploit per quel tipo di problema è possibile e che l'exploit potrebbe essere in grado di centrare l'obiettivo ripetutamente e con costanza. Il livello 2 è simile al precedente ma indica che l'attacco potrebbe non ripetersi regolarmente. Il livello 3 indica che è poco probabile la produzione di un exploit che sfrutti al cento per cento l'errore.
L'exploitability index di ottobre 2008 indica un livello 1 per otto delle venti vulnerabilità considerate, un livello 2 per sette vulnerabilità e un livello 3 per quattro vulnerabilità. Una, come indicato poco sopra, era già nota al momento della pubblicazione del bollettino e non ha avuto assegnato l'exploitability index.
La seconda novità è il Microsoft Active Protections Program, una procedura che mira a migliorare la protezione globale degli utenti. I software colpiti, i problemi di programmazione e le modalità di correzione saranno divulgati a produttori di antivirus e ad altri partner per prevenire i cosiddetti zero day exploit, ossia i programmi e le procedure che sfruttano a fini nocivi, già poche ore dopo la pubblicazione dei bollettini, i problemi dei software descritti da Microsoft
