Zowel Adobe als Microsoft waarschuwen gebruikers voor het installeren van onofficiële patches voor beveiligingslekken. Gisteren publiceerde het Turkse beveiligingsbedrijf Ramz Afzar een eigen oplossing voor een zero-day lek dat hackers actief misbruiken en dat Adobe pas op 4 oktober patcht. De Belgische PDF-expert Didier Stevens merkt op dat Adobe niet zolang bezig is met het ontwikkelen van een patch, maar dat de meeste tijd in het testen gaat zitten.

Volgens Adobe is een DLL-bestand gelijk aan een EXE-bestand. "Gebruikers moeten nooit executables van een onbetrouwbare leverancier op hun machine installeren." Verder hebben gebruikers geen garantie dat toekomstige Adobe updates na het installeren van de onofficiële update nog goed werken. Daarnaast is het mogelijk dat aanpassingen aan het DLL-bestand de functionaliteit van het product ondermijnen, "wat kritieke werkstromen kan ontregelen."

Risicomanagement
Ook Microsoft benadrukt dat het ontwikkelen van een patch niet de meeste tijd kost, maar het testen. "We hebben meer dan 600 miljoen downloads als we een update uitbrengen. Als we 'slechts' 10% van de systemen breken waarop de update is geïnstalleerd, zou het een gigantische denial of service zijn", zegt beveiligingschef Roger Halbheer. Hij vraagt zich ook af hoe goed de onofficiële patch getest is.

Halbheer vraagt zich ook af in hoeverre de leverancier van onofficiële patches zijn te vertrouwen en of die te verwijderen is. "Het is eigenlijk allemaal risicomanagement." Gebruikers moeten in ieder geval nooit zomaar een onofficiële patch installeren, zo besluit hij.