Adobe verhoogt patchfrequentie naar twee keer per maand

Adobe gaat beveiligingsupdates voortaan twee keer per maand uitbrengen om sneller te kunnen reageren op nieuw ontdekte kwetsbaarheden en de toenemende snelheid waarmee cybercriminelen misbruik maken van beveiligingslekken. Daarmee kiest het bedrijf voor een aanzienlijk kortere updatecyclus, vergelijkbaar met de recente koerswijziging van Oracle, dat eveneens afscheid heeft genomen van een minder frequente patchstrategie.

Snellere beveiligingsupdates vanwege groeiende dreigingen

Jarenlang publiceerde Adobe zijn beveiligingsupdates op de tweede dinsdag van iedere maand, een moment dat binnen de IT-wereld bekendstaat als Patch Tuesday. Op diezelfde dag brengen ook andere grote softwareleveranciers, zoals Microsoft en SAP, hun beveiligingsupdates uit. Vanaf juli voegt Adobe echter een tweede vast update-moment toe: ook op de vierde dinsdag van iedere maand zullen beveiligingsbulletins worden gepubliceerd.

Met deze wijziging halveert Adobe feitelijk de tijd tussen twee reguliere beveiligingsrondes. Hierdoor kunnen kwetsbaarheden sneller worden verholpen en hoeven organisaties minder lang te wachten op beveiligingsupdates voor kritieke problemen.

Toenemende ontdekking van kwetsbaarheden

Volgens Adobe is de wijziging een direct gevolg van de sterke toename van het aantal beveiligingslekken dat zowel intern als door externe beveiligingsonderzoekers wordt ontdekt. De afgelopen jaren is het aantal gerapporteerde kwetsbaarheden in software aanzienlijk gestegen. Tegelijkertijd worden aanvallers steeds sneller in het ontwikkelen van aanvallen zodra een kwetsbaarheid bekend wordt.

Door de opkomst van geavanceerde analysetechnieken, geautomatiseerde beveiligingsonderzoeken en kunstmatige intelligentie worden kwetsbaarheden bovendien sneller opgespoord dan ooit tevoren. Dat betekent echter ook dat softwareleveranciers deze kwetsbaarheden in een hoger tempo moeten verhelpen om te voorkomen dat kwaadwillenden er misbruik van maken.

Adobe stelt daarom dat een maandelijkse publicatiecyclus niet langer voldoende is om gelijke tred te houden met de huidige dreigingen.

Eerste aanwijzing van de nieuwe aanpak

Dat Adobe al behoefte had aan een snellere updatecyclus bleek eind juni. Op 30 juni publiceerde het bedrijf namelijk twee afzonderlijke beveiligingsadviezen buiten de reguliere Patch Tuesday om. Deze advisories behandelden meerdere kritieke kwetsbaarheden waarvoor beveiligingsupdates noodzakelijk waren.

Normaal gesproken worden dergelijke beveiligingsbulletins uitsluitend tijdens de maandelijkse patchronde gepubliceerd. Het feit dat Adobe tussentijds extra updates uitbracht, onderstreepte dat sommige kwetsbaarheden niet konden wachten tot de volgende geplande update.

Ook andere softwareleveranciers kiezen steeds vaker voor tussentijdse beveiligingsupdates wanneer de ernst van een kwetsbaarheid daarom vraagt. Zo bracht Microsoft eerder eveneens een noodupdate uit om een actief misbruikte kwetsbaarheid zo snel mogelijk te verhelpen.

AI versnelt zowel aanvallen als verdediging

Adobe geeft aan dat de huidige technologische ontwikkelingen een belangrijke rol spelen bij de beslissing om vaker updates uit te brengen. De opkomst van kunstmatige intelligentie maakt het voor beveiligingsonderzoekers eenvoudiger om software grondiger te analyseren en kwetsbaarheden sneller te ontdekken. Tegelijkertijd kunnen ook cybercriminelen AI inzetten om kwetsbaarheden sneller te identificeren, aanvallen te automatiseren en bestaande exploits efficiënter uit te voeren.

Hierdoor neemt de tijd tussen het openbaar worden van een kwetsbaarheid en de eerste pogingen tot misbruik steeds verder af. Voor softwareleveranciers betekent dit dat beveiligingsupdates sneller beschikbaar moeten zijn om organisaties voldoende bescherming te bieden.

Adobe benadrukt dat de nieuwe updatefrequentie mede mogelijk is geworden door investeringen in verbeterde processen voor het opsporen, analyseren en verhelpen van beveiligingslekken.

Welke updates vallen onder de nieuwe planning?

De nieuwe publicatiecyclus geldt voor alle beveiligingsbulletins waarin officieel geregistreerde kwetsbaarheden worden opgenomen waarvoor gebruikers actie moeten ondernemen. Het gaat daarbij om beveiligingslekken die zijn voorzien van een officieel CVE-nummer (Common Vulnerabilities and Exposures) en waarvoor Adobe een beveiligingsupdate beschikbaar stelt.

Organisaties en beheerders worden geadviseerd deze updates zo snel mogelijk te installeren. Juist bij kwetsbaarheden die als kritiek worden beoordeeld, kan uitstel van het installeren van beveiligingspatches ertoe leiden dat systemen kwetsbaar blijven voor aanvallen.

Inwerkingtreding

De nieuwe updateplanning is vanaf 14 juli van kracht. Vanaf dat moment zal Adobe niet langer uitsluitend op de tweede dinsdag van de maand beveiligingsupdates publiceren, maar ook op de vierde dinsdag van iedere maand. Met deze wijziging wil het bedrijf sneller inspelen op nieuwe beveiligingsrisico's en gebruikers beter beschermen tegen het steeds sneller veranderende dreigingslandschap.

Door: Drifter