Da es leider immer noch keinen Patch zur aktuellen ASP.NET Sicherheitslücke gibt, sollte man lt. dem entsprechenden Blogpost von Scott Guthrie zusätzlich zu dem bereits erwähnten Workaround (Aktivieren der CustomErrors ...) nun noch IIS UrlScan einsetzen,