Mobile-Menu

Schafe im Wolfspelz Nur 18 Prozent der kritischen Schwachstellen sind gefährlich

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH
SEPPmail - Deutschland GmbH

Datadog hat den aktuellen „State of DevSecOps 2025“ Bericht veröffentlicht. Dieser zeigt, dass nur ein Bruchteil der als kritisch eingestuften Schwachstellen tatsächlich vorrangig behandelt werden sollte.

Der aktuelle „State of DevSecOps 2025“ Bericht zeigt: Der Großteil der als kritisch eingestuften Schwachstellen sollte gar nicht als solche eingestuft werden, da sie so ein falsches Bild des Risikoprofils vermitteln.(Bild: Midjourney / KI-generiert)
Der aktuelle „State of DevSecOps 2025“ Bericht zeigt: Der Großteil der als kritisch eingestuften Schwachstellen sollte gar nicht als solche eingestuft werden, da sie so ein falsches Bild des Risikoprofils vermitteln.
(Bild: Midjourney / KI-generiert)

Für den „State of DevSecOps 2025“-Bericht hat Datadog zehntausende Anwendungen und Container-Images in Tausenden Cloud-Umgebungen analysiert, um die wichtigsten Sicherheits­risiken und bewährten Gegenmaßnahmen zu identifizieren. Um die Relevanz einer Schwachstelle besser zu beurteilen hat der Monitoring-Spezialist einen Priorisierungs­algorithmus entwickelt. Dieser bezieht den Ausführungskontext (Runtime Context) in den Common Vulnerability Scoring System (CVSS) mit ein.

Die Ergänzung des Ausführungskontexts soll zusätzliche Faktoren liefern. Zum Beispiel, ob die Schwachstelle in einer Produktionsumgebung aktiv ist oder ob die betroffene Anwendung öffentlich über das Internet zugänglich ist. Diese Aspekte werden im CVSS nicht berücksichtigt. Dadurch sollen sich irrelevante Alarme reduzieren lassen. Nach Anwendung des Ausführungs­kontexts stellte Datadog fest, dass nur 18 Prozent der Schwachstellen mit einem kritischen CVSS-Score tatsächlich noch als kritisch einzustufen waren.

Java-Services besonders anfällig

Zudem treten Schwachstellen besonders häufig bei Java-Services auf. 44 Prozent der Java-Anwen­dungen enthalten eine bekannte ausnutzbare Schwachstelle. Zum Vergleich: Bei anderen untersuchten Programmiersprachen wie Go, Python, .NET, PHP, Ruby und JavaScript liegt dieser Wert im Durchschnitt bei nur zwei Prozent.

Neben der höheren Anfälligkeit für schwerwiegende Schwachstellen werden Java-Anwendungen auch langsamer gepatcht als andere. So benötigen Anwendungen aus dem Java-basierten Apache-Maven-Ökosystem im Schnitt 62 Tage für die Behebung von Bibliotheks­problemen. Bei .NET-Anwendungen liegt dieser Wert bei 46 Tagen. Bei JavaScript-basierten npm-Paketen sogar bei nur 19 Tagen.

Weitere Erkenntnisse

Der Bericht zeigt außerdem, dass langfristig eingesetzte Zugangsdaten eine der häufigsten Ursachen für Datenlecks sind. Im Vorjahr verwendeten 63 Prozent der Unternehmen mindestens einmal langfristig Zugangsdaten zur Authentifizierung von GitHub Actions-Pipelines. 2024 sank der Wert auf 58 Prozent, was die Studienautoren als ein positives Signal für sich langsam verbessernde Prozesse im Credential Management einstufen.

Über alle Programmiersprachen hinweg hinken Abhängigkeiten den neuesten Hauptversionen um Monate hinterher. Besonders Anwendungen mit seltener Bereitstellung sind betroffen. In Services, die seltener als einmal im Monat bereitgestellt werden, sind die Bibliotheken zu 47 Prozent veralteter als bei täglich aktualisierten Anwendungen. Veraltete Bibliotheken erhöhen das Risiko für ausnutzbare, ungepatchte Schwachstellen.

(ID:50399996)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte