报告：2014年Windows漏洞少于OSX、iOS，还有Linux

资安软件公司GFI 整理并引用美国国家漏洞数据库（National Vulnerability Database, NVD）的漏洞报告统计指出，2014年漏洞最多的操作系统不是大家以为的Windows，而是Mac OS及iOS，其次是Linux，不过该篇文章也遭到一些网友批评，认为文章内容漏洞百出，严重误导。

GFI软件公司产品经理Cristian Florian表示，2014年NVD搜集的新增漏洞有7038个，较2013年的4794大幅增加，也是五年来最多的一年，平均一天新增19个漏洞。在漏洞风险程度方面，严重等级的漏洞有1705个，约占所有漏洞的24%，相较之下2013年为1612个。

若以漏洞发生的产品区分，83%出现在第三方应用，操作系统漏洞占13%，仅有4%属于硬件层级的漏洞。

这份报告分析操作系统漏洞数量显示，2014年漏洞数量最多的操作系统前三名分别是Apple Mac OS X（147）、Apple iOS（127）及Linux Kernel（119）。微软Windows，Windows Server 2008、Windows 7和Windows 8、Vista及RT分别在30到38个不等。若以严重等级的漏洞数量来看，Mac OS X及iOS也以64及32个分居前二名，Windows Server 2008和Linux Kernel则分别有26及24个，而且Mac OS X、iOS、Linux在中等与低严重性的漏洞上都大幅超过Windows。此外，该份报告后来另外补充Windows不分版本的合计漏洞总数则是68个。

漏洞最多的前三大应用则分别是IE（242），Google Chrome（124），Mozilla Firefox（117）。严重等级的漏洞IE有220个，遥遥领先Chrome和Firefox。此外，Adobe Flash Player和Oracle Java在漏洞总数及严重漏洞个数方面皆名列四、五名。GFI指出，浏览器是过去六年来漏洞最多的应用，Firefox和Chrome也都分别在2009/2012、2010/2011拿下冠军、IE则是连两年第一。

GFI并指出，从安全角度而言，2014年对Linux用户来说是很挑战的一年，数个重大漏洞都发生在Linux最常执行的应用上，例如OpenSSL上的Heartbleed，GNU Bash的Shellshock。

网友批评：报告漏洞百出

GFI的这篇报告也引起国外多家知名专业媒体的引用及报导，不过许多网友在留言中批评指出，这篇报告对Mac OS、iOS、Linux并不公平，未曾指出这三个操作系统的实际版本为何，并将所有版本整合在一起统计，反观Windows的计算则是区分为不同版本，化整为零：Vista、7、8、8.1、RT，Server 2008。也有人指出，本篇报导忽略了已不受支援的Windows XP。

另有人指出，像Linux这类开放源码操作系统本来就比较容易找到漏洞，但这并不代表不安全，应该还要考虑到漏洞修补以及发生实际攻击的情况。署名Laurent的网友解释为何就安全来说这些数字并没多大意义指出，可以想像一下Linux虽然有更多漏洞但是多数在被攻击之前就已经修补（这是好事），而Windows虽然漏洞较少但很多因为被坏人先发现而有更多的零时差攻击。

对于网友的诸多质疑，Cristian Florian回应表示，操作系统差异性很大，因此原本就难以提出一个可以让大家都同意的分类。以Linux为例，每个不同的Linux版本都可独立更新Linux核心，因此很难将Linux核心漏洞等同于个别的Linux版本。面对质疑，Cristian Florian也另外提供了几个各别Linux版本的漏洞数，统计如下：

这些版本中只有Ubuntu的39个比Windows Server 2008的38个来得高，其余Linux版本却是少了很多。而重大等级的漏洞则都比Windows Server 2008少很多。不过，如果把所有的Windows版本合起来计算，2014年总共有68个漏洞（由于很多漏洞是不同Windows版本共通的，所以比相加总数少很多），属严重等级者共有47个。其漏洞总数仍比Mac OS X、iOS及Linux Kernel少很多，但是严重等级的漏洞只比Mac OS X的64个少。

为回答网友质疑，Cristian Florian另外还提供更多的数字，如Android共有6个漏洞，4个为严重等级；Safari浏览器有70个漏洞，3个严重等级，67个中度。

最后Cristian Floriane强调，文章目的是要彰显“所有产品都有漏洞”的讯息，而越是受欢迎的产品越需要有更高的更新频率。并建议IT管理人员，不应该只注意到漏洞排行榜名单上的产品，以为不在名单内的就比较安全，事实上任何软件产品都可能在某个时间点上受到攻击，“修补更新”才是安全之道。