Google pide a las empresas de software que parcheen más rápido

Google quiere que los vendedores solucionen las vulnerabilidades una semana después de haberse hecho públicas y que por tanto los detalles estén al alcance para que cualquiera pueda explotarlas.

Chris Evans y Drew Hintz, ingenieros de seguridad de Google, han explicado en un post que apoyarán a los desarrolladores para que, después de siete días de haberse hecho pública una vulnerabilidad, los usuarios puedan acceder a información que les permita tomar alguna medida para protegerse.

En 2010 los investigadores de Google propusieron un plazo de divulgación pública de 60 días para las vulnerabilidades críticas, pidieron que los vendedores deben liberar un parche o información dentro de ese marco de tiempo.

Sin embargo ahora dicen que las acciones deben ser más urgentes y que el periodo de tiempo debe ser de siete días para las vulnerabilidades críticas. La razón, explican, es que cada día que una vulnerabilidad permanece activa, “más ordenadores se verán comprometidos”.

Con el tiempo, los investigadores de seguridad de Google han encontrado docenas de casos en los que los atacantes estaban explotando una vulnerabilidad Día Cero, que son las que aún no se han hecho públicas, en software terceros. Cuando se han dado estos casos, la empresa siempre se ha puesto en contacto con los vendedores, trabajando incluso con ellos en el parche, explican en el blog.

La mayoría de las vulnerabilidades de Día Cero se están utilizando contra grupos específicos y muchas veces las máquinas comprometidas tienen implicaciones importantes, tanto para empresas como para individuos.

“Siete días es un periodo de tiempo agresivo y puede ser demasiado corto para que algunos vendedores actualicen sus productos, pero debería ser suficiente para publicar información sobre posibles medidas, como desactivar un servicio o restringir un acceso”, han dicho Evans y Hintz.