Systeembeheerders bij bedrijven hebben inmiddels door dat besturingssystemen gepatcht moeten worden, maar als het gaat om applicaties dan is er een gebrek aan tijd, focus en werkt de software zelf ook niet mee, zegt Paul Ferron van Qualys tegenover Security.nl. "De trend is dat OS'en redelijk goed gepatcht worden", aldus de managing director Benelux. Gisteren presenteerde SANS een rapport waarbij Qualys een deel van de data aanleverde, gebaseerd op de scans van 9 miljoen clients. Aan de hand daarvan kon men een top 30 van meest voorkomende beveiligingslekken opstellen. Op zich is de lijst ook een overzicht van meest geïnstalleerde software en meest genegeerde kwetsbaarheden, zo gaat Ferron verder. Zo staat op de 22ste plek een Adobe lek uit 2007. "Er wordt gewoon niet voldoende gepatcht."

Wegklikken
Het belang van het updaten van het besturingssysteem is inmiddels overal doorgedrongen. Daar zijn ook tal van leveranciers op gesprongen, maar de andere applicaties is men vergeten. Ferron noemt de houding van veel bedrijven zorgwekkend. Die denken dat updates netjes geïnstalleerd worden, terwijl in werkelijkheid werknemers het installeren van de updates wegklikken. Verder blijkt uit het rapport dat aanvallers inmiddels ook al lang en breed met het fenomeen bekend zijn en zich massaal op het aanvallen van client-side applicaties richten. Met de onderstaande lijst hoopt Ferron dat bedrijven inzien welke kwetsbaarheden waarschijnlijk ook bij hen aanwezig zijn, en dat men dringend de problematiek moet aanpakken.

Top 30 meest voorkomende beveiligingslekken

1. WordPad en Office Text Converters (MS09-010)
2. Sun Java (244988 en andere)
3. Sun Java Web Start (238905)
4. Java Runtime Environment Virtual Machine (238967)
5. Adobe Acrobat en Adobe Reader (APSA09-01)
6. Microsoft SMB (MS09-001)
7. Sun Java Runtime Environment
8. Microsoft Excel (MS09-009)
9. Adobe Flash Player Update (APSB09-01)
10. Sun Java JDK JRE (254569)
11. Microsoft Windows Server Service (MS08-067)
12. Microsoft Office PowerPoint (MS09-017)
13. Microsoft XML Core Services (MS08-069)
14. Microsoft Visual Basic Runtime Extended Files (MS08-070)
15. Microsoft Excel (MS08-074)
16. Microsoft DirectShow (MS09-028)
17. Microsoft Word (MS08-072)
18. Adobe Flash Player (APSB07-20)
19. Adobe Flash Player (APSB08-20)
20. Third Party CAPICOM.DLL
21. Microsoft Windows Media Components (MS08-076)
22. Adobe Flash Player (APSB07-12)
23. Microsoft Office (MS08-055)
24. Adobe Reader (APSA09-02 en APSB09-06)
25. Microsoft PowerPoint (MS08-051)
26. Processing Font lek in JRE (238666)
27. Microsoft Office (MS08-016)
28. Adobe Acrobat/Reader (APSB08-19)
29. Adobe Acrobat en Adobe Reader (APSB08-15)
30. Windows Schannel Security Package (MS09-007)