更新==放心？

在 更新-說的比做的容易多了 這篇文章中我談到有關程式更新的議題。其中應用程式沒有更新的原因中，有一個勉強算是原因的原因，就是原先的應用程式並沒有持續更新。在X-Force今年初公布的安全報告 IBM Internet Security Systems X-Force 2008 Trend & Risk Report 中，對此也有相關的數據可供參考。我將內容摘錄如下：

• 截至2008年底為至，當年度所發現的弱點共有53%的比例尚未有原廠所提供的修正可以使用。
• 截至2008年底為至，2007年與2006年度所發現的弱點，各有46%與44%的比例尚未有修正可以使用。顯示廠商更新程式有所謂的黃金期，過了黃金期之後獲得修正的機會已經大量降低。
• 最常被公布弱點的十大廠商，在程式更新的表現上反而是較好的，2008年所發現的弱點中只有19%尚未獲得修正。
• 在2008年所發現的弱點中，有高達90.2%的比例是可以透過遠端的方式加以利用的。
• Web應用程式的弱點在2008年所發現的弱點中所佔的比例高達54%。
• 雖然Web應用程式的弱點所佔的比例甚高，但是其更新的表現卻相對更差，截至2008年底有高達76%的弱點尚未被更新。

不意外的，Web應用程式弱點所佔的比例持續升高，但是在更新方面卻沒有受到相對應的重視。 在Web化的趨勢之下，不管是系統商、開發商、甚至是使用者，都應該對此議題好好重視才是了。

相關連結：

• IBM X-Force Threat Reports