Analýza šesti tisíc patchů odhalila, že polovina z nich nesplní svůj bezpečnostní účel

Nová analýza více než šesti tisíc bezpečnostních patchů přináší nepříjemné zjištění: polovina z nich svůj účel nesplní. Výzkumníci prošli rozsáhlý vzorek oprav nasazovaných napříč softwarovými systémy a ukázalo se, že i patche, které na první pohled fungují a byly nasazeny bez viditelných problémů, často nedosahují toho, co měly. Neúspěšnost patchů dosahuje podle studie 50 procent, což zpochybňuje představu, že aplikace opravy automaticky znamená vyřešení bezpečnostního problému.

Podle autorů studie jde o problém, který se netýká jen situace, kdy patch selže při instalaci nebo se vůbec nenasadí. Mnohem závažnější je zjištění, že i takzvaně funkční patche, tedy ty, které se úspěšně nainstalují a formálně opravují uvedenou chybu, mohou způsobit škody jinde v systému. Oprava jedné zranitelnosti tak může vést k destabilizaci jiné části kódu nebo k narušení funkčnosti, která dosud bez problémů fungovala. Firmy a administrátoři, kteří patch nasadí a považují úkol za splněný, tak mohou nevědomky přenášet riziko dál, jen v jiné podobě.

Studie upozorňuje na tři hlavní kategorie problémů. První se týká zavádění nových chyb. Patch, který má odstranit konkrétní bezpečnostní díru, může do kódu vnést jinou zranitelnost, o které vývojáři v době vydání opravy nevěděli. Tento jev není nijak výjimečný a v praxi se opakuje napříč různými typy softwaru a různými výrobci.

Druhým problémem je riziko, že patch něco jiného rozbije. Software je dnes komplexní systém propojených komponent a zásah do jedné části může mít nečekané dopady na jinou. Oprava, která byla testována izolovaně, se v reálném provozním prostředí může chovat jinak, než se očekávalo, a způsobit výpadky nebo chybné chování aplikací, které s původní zranitelností nemají nic společného.

Třetí a podle výzkumníků možná nejzávažnější problém se týká patchů, které lze obejít. Jde o případy, kdy oprava sice technicky uzavře jednu cestu k útoku, ale útočníci najdou alternativní způsob, jak zranitelnost stále zneužít. Takové patche vytvářejí falešný pocit bezpečí – organizace je nasadí, považují riziko za odstraněné, ale ve skutečnosti zůstává otevřená cesta k napadení systému, jen skrz jinou techniku nebo jiný vektor útoku.

Autoři studie zdůrazňují, že tato zjištění by měla vést k přehodnocení běžné praxe správy zranitelností. Mnoho organizací dosud spoléhá na jednoduchý model, kde je aplikace patche považována za konečné vyřešení problému. Podle výzkumu je ale nutné patch po nasazení dále testovat a monitorovat, zda skutečně dosahuje očekávaného efektu a zda nezpůsobil jiné komplikace.

Zjištění mají praktický dopad zejména pro velké organizace a provozovatele kritické infrastruktury, kde je testování patchů před nasazením do produkčního prostředí často zdlouhavé nebo se z časových důvodů zkracuje. Tlak na rychlé nasazení bezpečnostních oprav, motivovaný snahou minimalizovat dobu, kdy je systém zranitelný, tak může paradoxně vést k tomu, že se do produkce dostávají patche, jejichž vedlejší efekty nebyly dostatečně prověřeny.

Výzkumníci doporučují kombinovat nasazení patchů s dalšími bezpečnostními opatřeními, jako je segmentace sítě, monitorování anomálií a pravidelné penetrační testování, které může odhalit, zda oprava skutečně uzavřela všechny cesty ke zneužití zranitelnosti. Samotné spoléhání na to, že patch byl vydán a nainstalován, podle studie nestačí k zajištění skutečné bezpečnosti systému.

Studie tak přináší varování pro celé odvětví kybernetické bezpečnosti: proces správy patchů nelze považovat za jednorázovou technickou úlohu, ale za součást širšího a trvalého procesu ověřování bezpečnosti systémů. Vzhledem k rozsahu analyzovaného vzorku, více než šesti tisíc patchů, jde o závěry, které by měly vzít v úvahu jak dodavatelé softwaru, tak firmy odpovědné za jeho provoz a údržbu.