Nous avons l'habitude de voir les virus se propager la grande majorité du temps au travers des failles non corrigées de Windows. Si l'on suit les règles les plus élémentaires des règles de sécurité, comme par exemple éviter d'ouvrir n'importe quelle pièce jointe dans un mail, un Windows à jour ne devrait pas subir l'attaque d'un virus. Si en plus un antivirus est présent, le risque devient minime.

Jusqu'à présent, les failles non corrigées représentaient la manière la plus directe et la plus efficace pour un développeur mal intentionné d'installer sa petite création chez un maximum d'utilisateurs. Ces derniers ne sont en effet pas une majorité à mettre régulièrement à jour leur système. Il n'est donc guère étonnant de constater que Microsoft fait désormais le forcing à ce niveau.

Cette tendance est cependant en train de changer, au profit d'un autre genre de faille. Il semble en effet que les logiciels de sécurité eux-mêmes deviennent une cible intéressante. Sur les quinze derniers mois, 77 failles de ces logiciels ont ainsi été exploitées. Sur les douze derniers mois, ces failles sont mêmes proportionnellement plus nombreuses que celles des produits Microsoft.

Ce sont les résultats d'une analyse du Yankee Group, rapportés par nos confrères de Vulnerabilite.com. Andrew Jaquith, un analyste du service Security Solutions & Services du cabinet, précise ainsi : "les chercheurs de failles, qu'ils soient black-hat, white-hat ou encore grey-hat, sont de moins en moins intéressés par la découverte de failles exploitables sur les postes de travail. Il serait, semble-t-il, beaucoup plus rentable et motivant de trouver des vulnérabilités dans des produits censés nous protéger des attaques. Il est temps pour les fabricants de réagir et de durcir leurs solutions avant que celles-ci ne deviennent des vecteurs de malwares et d'intrusions"

Lors de la conférence "DecisionNote(SM) Fear and Loathing" à Las Vegas, le Yankee Group a même présenter une liste de recommandations, comme par exemple l'audit systématique des produits par des sociétés tierces et indépendantes. Ces recommandations visent en fait la chaîne complète des étapes de création de ces produits destinés à la sécurité des ordinateurs.