Microsoft ha decidido finalmente adelantar la publicación del parche para la vulnerabilidad WMF debido a la presión de sus clientes. El anuncio de Microsoft de que publicaría la actualización el segundo martes de mes, día 10 de enero, había originado muchas críticas. No en vano se trata de una vulnerabilidad considerada por la propia Microsoft como crítica y que está siendo aprovechada de forma efectiva para comprometer los sistemas informáticos.
Si bien se entendía que Microsoft debía seguir sus controles de calidad para comprobar la robustez del parche y evitar efectos colaterales no deseados, las voces críticas no comprendían que se retrasase precisamente hasta el día 10, segundo martes de enero, tal y como si se tratara de una actualización periódica sin carácter de urgencia. La mayoría defendía que los parches deberían ser publicados en el mismo instante en que se finalizaran los controles pertinentes, pero no retrasarlos de forma calculada.
Finalmente, Microsoft ha publicado con carácter extraordinario un boletín de seguridad y los parches para la vulnerabilidad en el procesamiento WMF. Se recomienda a todos los usuarios que no tengan automatizada la descarga e instalación de parches, visiten WindowsUpdate para actualizar sus sistemas: «http://windowsupdate.microsoft.com«. También pueden encontrar más detalles sobre la vulnerabilidad y los enlaces a la descarga directa de los parches en el boletín MS06-001: «http://www.microsoft.com/technet/security/bulletin/ms06-001.mspx«.
Microsoft considera crítica la vulnerabilidad en los sistemas Windows 2000 (SP4), Windows XP SP1, Windows XP SP2, Windows Server 2003 y Windows Server 2003 SP1, para los que ha publicado los correspondientes parches. Por ello, Hispasec recomienda encarecidamente que los usuarios de Windows 2000, XP y 2003 actualicen sus sistemas con carácter de urgencia para prevenir el malware que aprovecha la vulnerabilidad.
A pesar de que la vulnerabilidad puede afectar a otras versiones de Windows más antiguas, como Windows 98, ME, etc., Microsoft considera que su explotación es más complicada, no se conocen casos reales de ataques, y por tanto no considera una vulnerabilidad crítica en esos entornos.
