Cybercriminelen hebben helemaal geen zero-day lekken nodig om bedrijven en overheden te infiltreren, zo stelt het Deense Secunia. Zero-day lekken zijn kwetsbaarheden in software waar nog geen patch voor is. "De beperkte bescherming tegen zero-day exploits, gecombineerd met de uitgebreide media-aandacht, leidt vaak tot een overreactie op deze dreiging", zegt analist Stefan Frei in dit rapport.

Uit onderzoek zou blijken dat voor alle lekken waar een end-point in 2010 mee te maken kreeg, er in 65% van de gevallen op de dag van de bekendmaking van het lek een patch beschikbaar was. 75% van de lekken was binnen tien dagen na bekendmaking gepatcht. "De mogelijkheid van zero-day exploits, een force majeure, rechtvaardigt niet het negeren van 65% van de gevallen waarbij er direct een oplossing mogelijk is."

Patchen
Volgens Frei kunnen bedrijven zich niet achter de dreiging van 0-day lekken verstoppen als een oplossing voor 65% van de lekken beschikbaar is. Het installeren van alleen Microsoft updates is daarnaast niet voldoende om aanvallen te voorkomen. 69% van de lekken op een doorsnee Windows XP systeem zouden door derde partijen zoals Adobe en Oracle worden veroorzaakt.

"Het is duidelijk dat cybercriminelen helemaal geen kostbare 0-day exploits nodig hebben, aangezien er op elk gegeven moment altijd een groot aantal systemen met ongepatchte programma's zal zijn", merkt Frei op. Daarnaast zouden veel bedrijven nog steeds denken dat Microsoft software de favoriete aanvalsvector van cybercriminelen is. Daardoor krijgt het patchen van software van derden een lagere prioriteit, terwijl die tactiek niet meer met de dreiging van vandaag overeenkomt.