A Microsoft corrigiu 1118 vulnerabilidades no Patch Tuesday de outubro e estreou, junto com os boletins, uma forma nova de organizar o que foi corrigido.
Os CVEs foram distribuídos em 15 grupos de risco, que a empresa chama de agrupamentos provisórios. Não são categorias oficiais de vulnerabilidade e não substituem a classificação já existente nos boletins.
O critério do agrupamento não é a causa raiz nem a nota de gravidade. Os CVEs entram no mesmo grupo quando respondem às mesmas perguntas de avaliação, ou seja, quando a equipe que vai aplicar o patch precisa olhar para os mesmos pontos.
Sistemas de arquivos, armazenamento e backup do Windows lideram com 136 falhas. Clientes de documento e e-mail do Office aparecem logo atrás com 135, e o processamento de gráficos, mídia e conteúdo soma 131.
Outros grupos de peso são os limites de privilégio do núcleo e do kernel do Windows, com 109, e os serviços de instalação, implantação e atualização, com 103. Infraestrutura de DNS, DHCP e endereçamento e as superfícies de dispositivo e impressão ficaram com 76 cada.
A própria Microsoft classifica a iniciativa como exploratória e avisa que os grupos não alteram as instruções de aplicação de patch. Eles também não substituem a verificação de exploração ativa, de interação do usuário, de caminhos de ataque e das orientações de cada produto.
O mapeamento de cada CVE para o respectivo grupo saiu em documento separado, e os detalhes individuais de cada falha continuam no guia de atualizações de segurança da empresa.
