Apple heeft met de plug-in-vrije versie van Safari voor iOS de weg getoond die inmiddels ook Microsoft, Google en Mozilla volgen. Browserplug-ins zoals Adobe Reader, Java en Flash Player zijn inmiddels voor de meeste aanvallen via drive-by downloads verantwoordelijk. Hierbij worden computers automatisch via verouderde plug-ins met malware geïnfecteerd.

In enkele gevallen komt het ook voor dat aanvallers zero-day kwetsbaarheden inzetten waarvoor nog geen update beschikbaar is, zoals onlangs bij Microsoft, Facebook en Apple gebeurde. Werknemers hadden de Java browserplug-in geïnstalleerd en raakten automatisch geïnfecteerd bij het bezoeken van een forum voor iPhone-ontwikkelaars.

Browsers
Inmiddels zien alle browserontwikkelaars dat plug-ins een groot beveiligingsrisico vormen. Safari voor iOS was de eerste, maar de desktopversie werkt nog wel met de verschillende plug-ins zoals Flash en Java. Met de Metro-versie van Internet Explorer 10 heeft Microsoft een desktopbrowser gelanceerd die geen plug-ins bevat, op de ingebedde Flash Player na.

En deze versie van Flash Player werkt alleen op een select aantal goedgekeurde websites. Inmiddels volgen Google en Mozilla dit voorbeeld. Zo zal Mozilla alle plug-ins in Firefox blokkeren, op Flash na. Inmiddels heeft Mozilla ook een ingebedde PDF-lezer gelanceerd zodat gebruikers geen Adobe Reader meer nodig hebben.

HTML5
Daarnaast is ook HTML5 in ontwikkeling, wat uiteindelijk een alternatief voor Adobe Flash Player kan worden. "Omdat plug-ins buiten de browser leven, kunnen ze niet automatisch door de browserleveranciers worden geüpdatet", zegt Julien Sobrier van ZScaler Research. Uit eigen onderzoek van het bedrijf zou blijken dat internetgebruikers zeer traag hun plug-ins bijwerken.

Het einde van de browserplug-in betekent volgens Sobrier niet het einde van beveiligingslekken in de browser, het zullen er alleen minder worden. "Maar in tegenstelling tot plug-ins die in alle browsers zijn te misbruiken, zijn browserlekken specifiek voor elke leverancier."