Počet nahlášených zranitelností roste. Nejvíce jich bylo nalezeno v aplikacích Adobe
Softwarové zranitelnosti jsou chyby, které lze pomocí exploitů zneužít například pro získání dat nebo ovládnutí počítače za účelem instalace a šíření počítačových hrozeb, jako je malware či ransomware. V loňském roce si velkou pozornost vysloužila například zranitelnost EternalBlue, která se týkala chyby v zabezpečení zastaralé služby Windows pro sdílení souborů SMB a umožnila vznik ransomwaru WannaCry. Ten napadl více než 230 000 počítačů ve 150 zemích po celém světě a způsobil škody za miliardy dolarů. S rostoucím počtem zranitelností se zvyšuje i počet útoků, které tyto zranitelnosti zneužívají a rostou i finanční škody, zejména ve firemní sféře.
Podle Frost & Sullivan se na odhalování zranitelností podílejí z drtivé většiny třetí strany. Pouze ve dvou procentech případů našel novou zranitelnost samotný výrobce softwaru. Nejčastěji hlásili zranitelnosti jednotlivci.
Na odhalování zranitelností se zaměřuje řada firem i organizací. Podle analýzy Frost & Sullivan má na svědomí nejvíce nalezených zranitelností iniciativa Trend Micro Zero Day Initiative (ZDI), která odhalila 1 009 z celkového počtu 1 522 zranitelností. Na druhém místě je s velkým odstupem Google Project Zero s 340 zranitelnostmi a na třetím US-CERTS s 54 zranitelnostmi.
Mezi další hlavní zjištění studie společnosti Frost & Sullivan patří:
- nejvíce potenciálně zneužitelných chyb bylo odhaleno v přehrávačích médií (292), operačních systémech (212) a webových prohlížečích (120);
- z pohledu konkrétních produktů na tom byl nejhůře Adobe Reader/Acrobat (166 zranitelností), Adobe Flash Player (119) a Microsoft Internet Explorer / Edge (92);
- na operační systémy Microsoft Windows připadlo 54 zranitelností a MS Office 53 zranitelností.
Ze statistik Trend Micro ZDI za rok 2017 dále vyplývá, že výrobce softwaru potřebuje v průměru 72 dní na vytvoření záplaty pro danou zranitelnost, kterou ZDI vykoupí a nahlásí výrobci. U produktů Microsoft je to v průměru 43 dní, u Adobe 63 dní. Nastal ovšem i případ, kdy zranitelnost zůstala nevyřešená až 252 dní.
