Vulnerabilità, il pericolo non viene da Microsoft

Secunia ha pubblicato la Vulnerability Review 2013, ovvero un report sulle vulnerabilità individuate nel 2012 in vari prodotti e sulle patch rilasciate dalle software house. Contrariamente a quanto si potrebbe immaginare, i principali pericoli per la sicurezza non provengono dalle applicazioni Microsoft, ma i veri colpevoli della diffusione dei malware sono i software di terze parti. Il maggior numero di vulnerabilità sono state scoperte in Google Chrome, Mozilla Firefox e Apple iTunes.

I dati utilizzati per la stesura del report sono stati ricavati mediante il tool Personal Software Inspector (PSI). Nel 2012 Secunia ha registrato 9.776 vulnerabilità in 2.503 prodotti di 421 software house, con un incremento del 5% rispetto al 2011. Il veicolo di attacco più usato dai malintenzionati è stato l’esecuzione di codice remoto via Internet.

Limitando l’analisi ai primi 50 prodotti installati sui PC degli utenti, 29 sono software Microsoft, 21 invece software di terze parti. Il numero totale di vulnerabilità individuate nella top 50 è pari a 1.137, ma solo il 14% di esse è stato causato dai software di Redmond.

Al primo posto di questa speciale classifica c’è Chrome con 291 vulnerabilità, seguito da Firefox (257), iTunes (243), Flash Player (67) e Java SE (66). Windows 7 occupa il settimo posto con 50 vulnerabilità, mentre Internet Explorer il nono posto con 41 vulnerabilità. Nonostante sia molto diffusa tra gli utenti, la suite Office non rappresenta un serio pericolo per la sicurezza, mentre Skype è una delle applicazioni più sicure (una sola vulnerabilità nel 2012).

Per quanto riguarda la velocità nel rilascio delle patch, l’84% delle vulnerabilità è stato risolto entro 24 ore dalla loro scoperta. Diverso il discorso sulla velocità di installazione. Nonostante il numero di vulnerabilità sia aumentato del 98% negli ultimi 5 anni, Secunia ha riscontrato un’eccessiva lentezza da parte delle aziende. È sufficiente una sola vulnerabilità per mettere in pericolo l’intera infrastruttura IT.