Met 59 opgeloste kwetsbaarheden, waarvan maar 9 kritiek en geen enkele zero-day, valt Microsofts Patch Tuesday van oktober al bij al licht uit.
Het is meer dan een jaar geleden dat Microsoft zo weinig kwetsbaarheden van een patch moest voorzien. Doorgaans staat de teller gemiddeld op zo’n 80 Ã 90 kwetsbaarheden, inclusief zero-days, aldus ZDNet.
Een gering aantal patches werkt uiteraard ook positief door op de gebruikerservaring. Minder omvangrijke updates betekent namelijk ook minder kans dat de patches de goede werking van Windows-functies en gebruikerssystemen kunnen verpesten.
Belangrijkste updates
Er werd deze maand opnieuw een patch toegevoegd voor een RCE-kwetsbaarheid (remote code execution) in Microsofts Remote Desktop Protocol, maar die is bijlange niet zo kritiek als BlueKeep. Verder werden vier problemen met geheugencorruptie in de Chakra Scripting Engine in Microsoft Edge verholpen. Ook die kunnen worden misbruikt voor het uitvoeren van code vanop afstand.
Het aantal updates voor Windows en andere Microsoft-producten is deze maand dus eerder beperkt, maar softwareleveranciers als Adobe en SAP hebben er doorheen de jaren een traditie van gemaakt om hun updates te laten samenvallen met die van Microsoft. We maken hieronder een overzicht.
- Microsoft geeft alle beveiligingsupdates voor deze maand weer in zijn Security Update Guide in een filterbare tabel. Aanvullende analyse is ook verkrijgbaar bij Cisco Talos, SANS ISC, Tenable en Trend Micro.
- Microsoft heeft eind september nog een noodpatch uitgerold voor een zero-day in Internet Explorer. Die werd eerst beschikbaar gesteld als een handmatige update en later geleverd via Windows Update.
- Er zijn geen Adobe-beveiligingsupdates deze maand.
- De SAP-beveiligingsupdates worden hier gedetailleerd beschreven.
5,5 procent van de bugs uitgebuit
Uiteraard is het belangrijk systemen altijd te updaten met de laatste beveiligingsupdates om cybercriminelen zo min mogelijk kans te geven misbruik te maken van een kwetsbaarheid.
Tegelijk blijkt uit een onderzoeksrapport van onder meer Cyentia, RAND Corporation en Virginia Tech, dat het aantal kwetsbaarheden dat ook daadwerkelijk in het wild wordt uitgebuit eerder klein is. Slechts 4.183 van de in totaal 76.000 kwetsbaarheden die tussen 2009 en 2018 werden ontdekt, zijn uitgebuit. Dat komt neer op een kleine 5,5 procent.