Meer dan de helft van de tien populairste softwarebugs die door cybercriminelen worden misbruikt, zijn meer dan een jaar oud, in sommige gevallen zelfs meer dan vijf jaar. Veel bedrijven slagen er blijkbaar nog steeds niet in om patches tijdig uit te voeren.
Het lijstje is afkomstig van Recorded Future, dat jaarlijks de meest misbruikte softwarebugs in kaart brengt. De top tien van 2019 toont maar een paar verschillen met de lijst van 2018. Zes kwetsbaarheden hielden stand (vetgedrukt), hoewel voor alle bugs in het lijstje reeds patches beschikbaar zijn.
- CVE-2018-15982 Adobe Flash Player
- CVE-2018-8174 Microsoft Internet Explorer
- CVE-2017-11882 Microsoft Office
- CVE-2018-4878 Adobe Flash Player
- CVE-2019-0752 Microsoft Internet Explorer
- CVE-2017-0199 Microsoft Office
- CVE-2015-2419 Microsoft Internet Explorer
- CVE-2018-20250 Microsoft WinRAR
- CVE-2017-8750 Microsoft Internet Explorer
- CVE-2012-0158 Microsoft Office
Acht van de tien bugs hebben betrekking op Microsoft-software, zoals Office en Internet Explorer. De populariteit van deze kwetsbaarheden is simpel te verklaren door de grote populariteit van Windows en andere Microsoft-producten.
De twee andere kwetsbaarheden treffen Adobe Flash Player. Eén van die Flash-bugs, CVE-2018-15982, staat bovenaan het lijstje van Recorded Future en wordt onder meer gebruikt voor de verspreiding van de GandCrab-ransomware. De kwetsbaarheid is in december 2018 gepatcht en wordt als zeer kritiek bestempeld, met een maximale CVSS-score van 10 op 10.
Oude lekken
De volgende drie plaatsen worden ingevuld door de top drie van vorig jaar. Het gaat onder meer om CVE-2018-8174 (Internet Explorer, gepatcht in mei 2018) en CVE-2017-11882 (Microsoft Office 2016, gepatcht in november 2017), die respectievelijk onder meer worden gebruikt voor de Trickbot-trojan en het destructieve Emotet-botnet.
De afsluiter van de top tien, CVE-2012-0158, is tegelijk ook de meest alarmerende. Deze kwetsbaarheid in Microsoft Office is ondertussen al bijna acht jaar oud, maar blijft nog steeds populair als middel om aanvallen vanop afstand uit te voeren op een kwetsbaar systeem. Dat de bug nog steeds zo populair is, toont andermaal aan dat het installeren van patches een grote uitdaging blijft.
Lees ook: Microsoft sleutelt mee aan universele patchgids voor bedrijven. Op tijd patchen blijkt moeilijk. Microsoft werkt samen met het Amerikaanse National Institute of Standards and Technology (NIST) aan een gestandaardiseerde gids voor het toepassen van security-patches in zakelijke omgevingen.