Heartbleed, ancora più di 300 mila server vulnerabili

Battuta d'arresto per gli aggiornamenti ai server equipaggiati con una versione di OpenSSL vulnerabile al bug Heartbleed: la società di sicurezza Errata Security ha aggiornato i risultati della propria analisi mensile ed ha individuato che circa 300 mila server prestano ancora il fianco a possibili attacchi sfruttando la funzione Heartbeat.

Tali sistemi potrebbero ancora fornire chiavi SSL, password, numeri di carte di credito o qualsiasi altra informazione sensibile a coloro i quali sono in grado di sfruttare la vulnerabilità. Il numero di sistemi vulnerabili è sensibilmente inferiore rispetto a quando il bug è stato scoperto ad aprile, ma un calo di appena 9000 (da 318,239 a 309,197) server rispetto all'ultima analisi del mese di maggio. Errata Security ha effettuato uno scan sulla porta 443, solamente sugli indirizzi IPv4, elencando tra i sistemi vulnerabili quelli che hanno risposto all'handshake SSL.

Robert Graham di Errata Security commenta: "Questo risultato indica che le persone hanno abbandonato anche il tentativo di applicare patch correttive. Dovremmo assistere ad una lenta diminuzione nel corso dei prossimi dieci anni, con i vecchi sistemi che vengono lentamente sostituiti. Anche fra dieci anni comunque ci aspettiamo di trovare migliaia di sistemi, compresi quelli critici, ancora vulnerabili".

Considerando, appunto, che lo scan ha interessato solamente la porta 443 degli indirizzi IPv4 è ragionevole supporre che il numero effettivo di sistemi vulnerabili sia in realtà più alto di quanto riscontrato da Errata Security. Alla luce di ciò vi sono ancora serie implicazioni di sicurezza, con gli utenti del web che dovrebbero continuare a prestare attenzione ai siti che frequentano. Mentre molte grandi realtà del web sono già corse ai ripari per via della natura del bug e del clamore che ha seguito la sua scoperta, siti più piccoli o realtà con deboli misure di sicurezza potrebbero restare vulnerabili ancora per qualche tempo.

La pubblicazione di un elenco di siti vulnerabili potrebbe ovviamente causare più problemi di quelli che potrebbe risolvere, specie se i siti interessati non si dimostrano sufficientemente reattivi da applicare un aggiornamento correttivo. Errata Security effettuerà un nuovo scan mensile a luglio, per poi effettuarne uno dopo sei mesi e quindi a cadenza annuale.