Patch (Łatka)
Patch (łatka) to zmiana w oprogramowaniu wydana po to, by naprawić błąd: funkcjonalny albo bezpieczeństwa. W security „patch” prawie zawsze znaczy: zamknięcie vulnerability, zanim (albo zanim dalej) ktoś złoży na nią exploit.
Na blackweb.pl łatka nie jest moralną lekcja o „aktualizuj wszystko zawsze”. Jest elementem threat model: ile systemów, jak szybko da się wgrać, co się psuje przy restarcie, kto odpowiada za vendorów. Opóźniony patch to decyzja operacyjna z ceną, nie abstrakcja.
Skąd się bierze okno
Producent (albo maintainer) publikuje poprawkę. Część użytkowników wgrywa od razu. Część czeka na testy. Część nigdy. W tym oknie napastnicy i badacze czytają changelog, diff i advisory. Czasem z łatki da się wywnioskować, co było zepsute, i zbudować exploit na wersje bez patcha. Stąd żart o „Exploit Wednesday” po Patch Tuesday Microsoftu: ritm jest realny, nawet jeśli nazwa brzmi memicznie.
Zero-day to luka bez publicznej poprawki. N-day to luka już załatana u vendora, ale nie u Ciebie. W statystykach ransomware i botnetów N-day wygrywa nudą: skan Internetu, znane CVE, niezałagane hosty. Patrz też łańcuchy dostaw: xz Utils przypomina, że „aktualizacja” bywa wektorem, nie tylko tarczą. Stąd weryfikacja źródeł i zaufanie do maintainerów wchodzi do modelu.
Patch to nie tylko Windows
System operacyjny, przeglądarka, firmware routera, wtyczka CMS, biblioteka w node_modules, agent monitoringu, appliance VPN. Każda warstwa ma własny cykl. Firma, która „patchuje Windowsy”, a trzyma stary panel na publicznym IP, ma dziurę w definicji słowa „załatane”.
W kontekście journalu: MikroTik, panele zarządzania, CVE w KEVie CISA. Łatka jest wtedy, gdy zmiana jest wdrożona i zweryfikowana, nie gdy PDF z advisory leży w mailu.
Koszt i konflikt
Patch psuje kompatybilność, wymaga okna serwisowego, czasem restartu SCADA albo kasy. Dlatego „dlaczego nie zaktualizowali” bywa pytaniem o procesy, nie o lenistwo. Dobre programy mają: inwentaryzację, scoring CVE, wyjątki z datą wygaśnięcia, rollback. Złe mają Excel i nadzieję.
Dla osoby prywatnej: auto-update przeglądarki i OS to tanio wygrane ryzyko. Router domowy i IoT często zostają poza tym rytuałem. To osobna dziura w opsec domowej sieci.
W newsach o ransomware często pada zdanie „wykorzystano znaną lukę”. Znana znaczy: vendor już coś opublikował, a ofiara żyła na starej wersji. Patch nie jest więc moralitetem. Jest wyścigiem zegara między advisory a skanerem, który nie pyta o Twój backlog IT.
Czego tu nie ma
Nie ma listy „jak zdiffować patch pod exploit”. Jest rola łatki w cyklu ujawnienia i wdrożenia oraz powód, dla którego niezałagane N-day wciąż żywią botnety.