Podjetja in organizacije, ki se zanašajo na standardna orodja za analizo programske sestave (SCA) in CVE vire, se soočajo s kritično varnostno vrzeljo. Problem se skriva v programski opremi, ki je dosegla konec življenjskega cikla (EOL – End of Life), vendar še vedno deluje v produkcijskih okoljih.
Raziskava podjetja HeroDevs razkriva, da večina SCA orodij ne pregleduje ranljivosti v EOL različicah odprtokodnih knjižnic in ogrodij. Ko programska oprema doseže EOL status, proizvajalci prenehajo izdajati varnostne popravke in posodobitve, kar pomeni, da novoodkrite ranljivosti niso več dokumentirane v uradnih CVE virih.
“Gre za paradoksalno situacijo,” pojasnjuje varnostni strokovnjak. “Organizacije uporabljajo najnovejša orodja za odkrivanje ranljivosti, a ta sistematično spregledajo komponente, ki so dejansko najbolj ogrožene.”
Problem je še posebej pereč pri priljubljenih JavaScript ogrodjih, kot sta AngularJS in starejše različice Node.js, ter pri PHP različicah, ki so pred leti dosegle EOL status. Kljub temu, da je njihova uporaba v produkcijskih okoljih še vedno razširjena, varnostna skupnost zanje ne objavlja več CVE številk.
Strokovnjaki opozarjajo, da napadalci poznajo to slepo pego in jo aktivno izkoriščajo. Ranljivosti v EOL programski opremi so pogosto javno dokumentirane, vendar niso vključene v standardne varnostne baze podatkov, kar organizacijam onemogoča pravilno oceno varnostnega tveganja.
HeroDevs je ob tej priložnosti predstavil brezplačno storitev pregledovanja EOL programske opreme v projektih. Storitev identificira odslužene komponente in oceni potencialna varnostna tveganja, ki jih standardna orodja ne zaznajo.
Priporočila za organizacije vključujejo redni pregled programske sestave, načrtovanje migracij iz EOL tehnologij in razmislek o komercialnih podpornih storitvah za kritične sisteme, kjer takojšnja posodobitev ni mogoča. Varnostni strokovnjaki svetujejo, da naj bodo EOL komponente vključene v register tveganj in da se vzpostavi ločen monitoring za znane ranljivosti v teh komponentah.
Vir: https://www.bleepingcomputer.com/news/security/the-eol-blind-spot-in-your-cve-feed-what-sca-tools-miss/
Originalna objava: 2026-05-05
Članek je pripravljen na osnovi tujega vira s pomočjo AI in prilagojen za slovenskega bralca.