Java攻击成功，因为用户不更新软件

忘记零天了。 之所以发生Java攻击，是因为用户在其浏览器中运行了Java插件的过时版本。

Websense研究与开发副总裁查尔斯·雷纳特（Charles Renert）周一在Websense安全实验室博客上写道，将近75％的最终用户正在其浏览器中运行Java版本，该版本至少已经过了六个月。 Websense发现，只有5％的端点运行最新版本的Java Runtime Environment 1.7.17。

当查看浏览器的Java插件的较旧版本时，这些数字会更加令人沮丧。 三分之二的用户使用的Java版本至少已过期一年，而50％的用户运行的版本已超过两年。 实际上，将近25％的用户使用的版本已超过四年。 上面的图表有详细信息-单击以查看大图（博客文章上甚至更大的图像）。

Renert指出：“如您所见，Java版本遍布整个地图。”

此分析的数据来自Websense的ThreatSeeker网络中的数千万个端点。

过时的Java会转化为攻击

在确认尽管经常提醒人们使Java（实际上是计算机上的任何软件）保持最新状态之后，绝大多数用户都没有这样做，Websense才检查了旧版本确实受到攻击的脆弱性。 正如 SecurityWatch 之前指出的那样，大多数网络攻击都不会受到零日漏洞的困扰，尤其是当存在运行过期软件的巨大受害者池时。

Renert说：“这就是坏人所做的-检查您的安全控制并找到绕过它们的最简单方法。”

Websense研究了漏洞利用工具包Cool，Gong Da，MiniDuke，Blackhole 2.0，RedKit和CritXPack中针对的Java漏洞，发现在浏览器中启用了过时Java插件的用户容易受到攻击者的攻击。至少其中一种套件。 Renert说，最大的单一利用Java漏洞存在于JRE版本1.7.15和1.6.41及更高版本中，并且93.77％的浏览器容易受到攻击。 漏洞利用率第二高的漏洞是1.7.11版，影响了83.87％的浏览器。 这两个漏洞利用都是Cool Cool Kit的目标。

Renert说：“要获得如此大量的漏洞浏览器，获取最新版本的Cool并使用预先打包的漏洞利用是相当低的门槛，显然，这不仅仅是零日攻击应该引起所有关注。”

还有许多用户还没有继续使用新版本的Java Development Kit。 Websense发现，大约79％的用户仍在运行基于Java 6的插件。 考虑到Oracle刚刚在几周前发布了Java Development Kit 6更新43，并说将不再支持Java 6，因此用户确实需要尽快迁移到Java 7。

“如果您没有使用版本7（占您的78.86％），即使发现了新的漏洞，Oracle也不会向您发送更多更新，” Renert警告说。

防御零日攻击的能力受到限制，但是您可以做两件简单的事情，以使用较旧的漏洞保护自己免受所有这些攻击：在操作系统和软件可用时安装安全更新，以及尽可能升级到最新版本。

这是安全的事情。