O número de vulnerabilidades encontradas por ano em softwares caiu pela primeira vez em sete anos durante 2007, confirmou o relatório ISS X-Force, da IBM.

Segundo o site heise Security, os responsáveis pelo estudo anual não chegaram a um consenso quanto ao que fez o número cair.

Em declaração ao site Sydney Morning Herald, Chris Rouland, CTO do ISS, explica que o número caiu porque há um mercado negro de vulnerabilidades, no qual os especialistas de segurança vendem suas descobertas para criminosos, informações que poderiam valer até US$ 100 mil.

Mais otimista, Gunter Ollmann, diretor de estratégia de segurança, usou o blog da X-Force para expressar sua opinião de que as companhias desenvolvedoras de software estão trabalhando com melhores métodos de controle de qualidade, que reduz o número de brechas em produtos recém-lançados. Algumas empresas empregariam centenas de especialistas de segurança independentes para procurar falhas que possam ser resolvidas antes do lançamento.

Ollmann explicou ainda que há um aumento na demanda pela qualidade de informação a respeito de defeitos de segurança em softwares. Isto afastaria alguns hackers, fazendo com que alguns bugs fiquem sem divulgação.

No relatório X-Force, foi notado que o número total de falhas de softwares caiu 5,4%, para 6.437, em comparação a 2006. Ao contrário, o número de problemas críticos aumentou em 28%. Das 6.437 falhas descobertas, apenas 14% foram encontradas em softwares de grandes companhias, como Microsoft, Apple, Oracle, IBM e Cisco. Alarmante, entretanto, é que apenas metade das falhas foram corrigidas.

O estudo ainda apontou que cerca de 90% das falhas encontradas poderiam ser exploradas remotamente, enquanto 80% dos ataques realizados pela web em navegadores incluíam criptografia e outras técnicas que dificultavam sua detecção.

Outro dado interessante descoberto foi que a maior parte das informações sobre as vulnerabilidades foram publicadas às terças-feiras, dia em que acontece o programa de atualização Patch Tuesday, da Microsoft, embora não se saiba se a companhia tenha tido grande influência sobre isto.

O estudo completo pode ser visto aqui.