Patch Scramble lança o Adobe Updates fora do cronograma

Julho foi um mês difícil para a equipe de segurança da Adobe Systems. Na verdade, o segundo patch trimestral da empresa chegará um mês atrasado, disse o chefe de segurança da Adobe nesta quinta-feira. Em junho, a Adobe aceitou a Microsoft, Oracle e Cisco, e disse que começaria a entregar atualizações de segurança em um agendamento regular e previsível. Embora a maioria das empresas de software implemente patches de maneira ad hoc, essas atualizações previsíveis facilitam o planejamento dos clientes corporativos para implementá-las. Na época, a Adobe anunciou que lançaria seu próximo conjunto de adesivos no dia 8 de setembro. Mas isso não aconteceu. Isso porque, em vez de preparar patches trimestrais, a equipe de segurança da Adobe passou a maior parte de julho tentando corrigir dois problemas críticos de segurança: um decorrente de uma falha no software ATL (Active Template Library) da Microsoft e o outro uma falha crítica em seu software Flash e Reader. que estava sendo explorada em ataques cibernéticos.

[Outras leituras: Como remover malwares do seu PC com Windows]

"Quando realizamos a simulação de incêndio em julho, quando estávamos trabalhando para remover esse problema urgente de ciclo, isso impactou nosso ciclo ", disse Brad Arkin, diretor de Segurança e Privacidade de Produtos. A questão da ATL foi um grande negócio porque a Adobe, como outros fornecedores de software, teve que vasculhar seu código-fonte para ver quais produtos usavam componente biblioteca de buggy. "Nós saímos da triagem de mais de 200 produtos dentro da Adobe para avaliar quais produtos eram potencialmente vulneráveis ​​ao problema de cabeçalho da ATL, para obter uma atualização o mais rápido possível", disse Arkin. atualizações fora do ciclo, mas simplesmente não houve tempo suficiente para lidar com esses dois grandes problemas e as atualizações neste trimestre. Então, em vez de uma versão de setembro, a próxima atualização trimestral da Adobe será lançada em 13 de outubro, o mesmo dia da versão de segurança "Patch Tuesday" da Microsoft para aquele mês.

A Adobe não é a única empresa a se mover. Na quinta-feira, a Oracle informou que estaria atrasada uma semana com sua próxima Atualização de Patch Crítica, agora prevista para 20 de outubro. A Oracle mudou a data para que sua versão de correção não colidisse com a conferência anual Oracle OpenWorld, realizada de 11 a 15 de outubro. Arkin espera que sua empresa envie sua atualização subseqüente três meses depois de outubro, mas a Adobe bloqueará essa data quando enviar os adesivos de 13 de outubro. "Para nós, este é um processo contínuo", disse ele. "Estamos trabalhando com os clientes para dar a eles o máximo de atenção possível."

Ele disse que é possível que futuras atualizações possam ser atrasadas também. "Nosso plano é [divulgar atualizações] a cada trimestre, e se precisarmos mudar a programação comunicada, disponibilizaremos as notícias assim que pudermos."

Essa é uma boa ideia, porque os clientes gostam da segurança deles. Os patches são o mais previsível possível, de acordo com David Marcus, gerente de pesquisa de segurança do McAfee Avert Labs. "A inconsistência em um ciclo de correção regular não é útil para as empresas".