Microsoft Word 2007と Windowsに未修正の脆弱性が存在していることがわかった。Word 2007で２件、Windowsのヘルプファイル関連で１件の脆弱性が報告されており、どれもコンセプト実証コードが公開されている。
セキュリティベンダーや関係機関が９日から10日（現地時間）にかけて発表した情報によると、Word 2007の脆弱性のうち１件は、WWLib.DLLでバッファオーバーフローが起きるというもので、クラッシュを引き起こすコードが公開された。この脆弱性を悪用されると、PCを乗っ取られるおそれがある。Word 2007のもう１件の脆弱性もバッファオーバーフローによるものとみられており、Dos攻撃によりクラッシュを引き起こすコードが公開されている。
Windowsのヘルプファイルの脆弱性は、細工されたヘルプファイルを開くとヒープベースのバッファオーバーフローが起こるというもの。Dos攻撃を起こすコードが公開されており、これも、悪用されるとPCを乗っ取られるおそれがある。
マイクロソフト製品には上記３件以外にも未修正の脆弱性が複数存在しており、eEye Digital Securityの「Zero-Day Tracker」や、SANSの「The missing Microsoft patches」で確認できる。２月に報告され、ゼロデイ攻撃が確認された Word2000/XP（2002）の脆弱性も未修正のままとなっており、今月11日のセキュリティ更新でも対応がなされなかった。
（2007/04/13 ネットセキュリティニュース）
■New MS Office Zero-Days[英文]（McAfee Avert Labs Blog）
http://www.avertlabs.com/research/blog/?p=253
■Microsoft Word 2007 WWLib.DLL Unspecified Document File Buffer Overflow Vulnerability[英文]（SecurityFocus）
http://www.securityfocus.com/bid/23380
■Microsoft Windows Help File Unspecified Heap Overflow Vulnerability[英文]（SecurityFocus）
http://www.securityfocus.com/bid/23382
■CVE情報
・CVE-2007-1910[英文]
http://cve.mitre.org/cgi-bin/cvename.cgi?name=2007-1910
・CVE-2007-1911[英文]
http://cve.mitre.org/cgi-bin/cvename.cgi?name=2007-1911
・CVE-2007-1912[英文]
http://cve.mitre.org/cgi-bin/cvename.cgi?name=2007-1912
■未修正の脆弱性一覧
・Zero-Day Tracker[英文]（eEye Digital Security）
http://research.eeye.com/html/alerts/zeroday/index.html
・The missing Microsoft patches[英文]（SANS Internet Storm Center）
http://isc.sans.org/diary.html?storyid=1940
【関連記事：ネットセキュリティニュース】
・【ゼロデイ攻撃】Wordに未修正の脆弱性～MSがアドバイザリ公開（2007/02/16）