A Microsoft áprilisi Patch Kedd keretében összesen 134 sebezhetőséget javított, köztük egy olyan zero-day hibát is, amelyet aktívan kihasználtak a támadók. A frissítés 11 kritikus besorolású hibát is orvosol, ezek mindegyike távoli kódfuttatási (RCE) lehetőséget biztosított a támadók számára, így különösen veszélyesnek számítanak.
A sérülékenységek között ezúttal is sokféle kategóriával találkozhatunk. A legtöbb javítás - egészen pontosan 49 - jogosultsági szintemelést akadályoz meg, de 31 távoli kódfuttatási, 17 információszivárgást okozó, 14 szolgáltatásmegtagadási, 9 biztonsági funkciók megkerülését lehetővé tévő és 3 megtévesztésen (spoofing) alapuló hibát is lezártak. Fontos megjegyezni, hogy ezek a számok nem tartalmazzák a Microsoft Mariner projekthez kapcsolódó, illetve a hónap elején már külön javított Edge sebezhetőségeket.
A frissítés egyik legfontosabb eleme a CVE-2025-29824 azonosítójú, a Windows Common Log File System (CLFS) illesztőprogramját érintő sebezhetőség javítása, amelyet a Microsoft szerint már aktívan kihasználtak. A hiba lehetővé teszi, hogy egy helyi támadó rendszergazdai (SYSTEM) szintű jogosultságot szerezzen a célgépen. A sebezhetőséget a Microsoft Threat Intelligence Center fedezte fel, és utólag kiderült, hogy a RansomEXX zsarolóvírus-csoport használta ki célzott támadások során.
Érdekesség, hogy bár a hibát érintő frissítések elérhetők a legtöbb támogatott rendszerre, a Windows 10 x64 és 32-bites verziói esetében a Microsoft még nem adta ki a javítást. A vállalat tájékoztatása szerint ezeket a frissítéseket később fogják publikálni, és a CVE-azonosító információin keresztül értesítik a felhasználókat, ha elérhetővé válik.
A Microsoft Office, a Windows Kernel, a Hyper-V, a Remote Desktop Services és az Edge böngésző is jelentős figyelmet kapott ebben a hónapban. Több, kritikus besorolású Office-hoz és Excelhez köthető RCE hibát javítottak, emellett a SharePoint, a Word, valamint a OneNote is érintett volt különféle jogosultságemelési és kódfuttatási problémákban.
Nem a Microsoft volt az egyetlen nagyobb szoftvergyártó, amely áprilisban biztonsági frissítéseket adott ki. Az Apple visszamenőleg is javított több, aktívan kihasznált hibát régebbi készülékeken, míg a Google 62 Android sebezhetőséget foltozott be, köztük két zero-day hibát, amelyek célzott támadásokban kerültek kihasználásra. Az Ivanti, a Fortinet, a MediaTek, a SAP és a Minio szintén kritikus frissítéseket adtak ki, többek között kínai támadók által célba vett sérülékenységeket is javítva.
Az áprilisi frissítési csomag átfogó képet nyújt arról, hogy milyen sokrétű és szerteágazó fenyegetésekkel kell szembenézniük a felhasználóknak és rendszergazdáknak 2025-ben. A biztonsági szakértők továbbra is arra figyelmeztetnek, hogy a frissítések mielőbbi telepítése kulcsfontosságú a rendszerek védelme érdekében - különösen akkor, ha aktívan kihasznált, zero-day hibáról van szó. Mivel egyes frissítések még nem érhetők el minden rendszerre, érdemes fokozott figyelemmel követni a Microsoft közleményeit és CVE-frissítéseit a következő napokban is.
