Twee maanden na de ontdekking van de ernstige Heartbleed-bug in OpenSSL zijn nog altijd 300.000 servers kwetsbaar, wat aangeeft dat systeembeheerders zijn gestopt met het patchen van hun servers, zo stelt beveiligingsonderzoeker Robert Graham aan de hand van eigen onderzoek.

De Heartbleed-bug maakt het mogelijk om informatie uit het geheugen van webservers te stelen, zoals wachtwoorden en sessiecookies. In bepaalde gevallen kan ook de encryptiesleutel van het SSL-certificaat worden buitgemaakt. Heartbleed kwam uitgebreid in de media en er werd op grote schaal door allerlei instanties voor gewaarschuwd, toch is het probleem nog altijd niet overal opgelost.

Op het moment dat de bug bekend werd gemaakt waren er volgens Graham 600.000 servers kwetsbaar. Een maand later werd de scan op poort 443 weer uitgevoerd en bleek dat het er 300.000 waren geworden. Nu weer een maand later heeft Graham de scan herhaald en zag hetzelfde aantal kwetsbare servers.

"Dit wijst erop dat mensen gestopt zijn met het patchen. We zullen de komende tien jaar waarschijnlijk een langzame daling zien als oudere systemen worden vervangen. Zelfs over tien jaar verwacht ik nog duizenden systemen te vinden, waaronder belangrijke, die kwetsbaar zijn", aldus de onderzoeker.