Patch Tuesday [1] (también conocido como Update Tuesday [1] [2] ) es un término no oficial utilizado para referirse a cuando Microsoft , Adobe , Oracle y otros lanzan regularmente parches de software para sus productos de software. [3] La industria lo conoce ampliamente de esta manera. [4] [5] [6] Microsoft formalizó Patch Tuesday en octubre de 2003. [1] [7] Patch Tuesday también se conoce dentro de Microsoft como el lanzamiento "B" , para distinguirlo de los lanzamientos "C" y "D" que ocurren en la tercera y cuarta semana del mes, respectivamente. [1]
El martes de parches se celebra el segundo martes de cada mes [8] . Ocasionalmente, se lanzan actualizaciones de seguridad críticas fuera del ciclo normal del martes de parches; se las conoce como lanzamientos "fuera de banda". En lo que respecta a la función integrada de Windows Update (WU), el martes de parches comienza a las 10:00 a. m., hora del Pacífico . [9] La información sobre vulnerabilidades está disponible de inmediato en la Guía de actualizaciones de seguridad. Las actualizaciones aparecen en el Centro de descargas antes de que se agreguen a WU, y los artículos de la base de conocimientos se desbloquean más tarde.
Las actualizaciones diarias consisten en actualizaciones de la base de datos de malware para Microsoft Defender y Microsoft Security Essentials ; estas actualizaciones no son parte del ciclo normal de lanzamiento del martes de parches.
A partir de Windows 98 , Microsoft incluyó Windows Update, que una vez instalado y ejecutado buscaba parches para Windows y sus componentes, que Microsoft lanzaba de forma intermitente. Con el lanzamiento de Microsoft Update , este sistema también busca actualizaciones para otros productos de Microsoft , como Microsoft Office , Visual Studio y SQL Server .
Las versiones anteriores de Windows Update sufrieron dos problemas:
Microsoft introdujo el "martes de parches" en octubre de 2003 para reducir el coste de distribución de parches tras el gusano Blaster . [10] Este sistema acumula parches de seguridad a lo largo de un mes y los distribuye todos el segundo martes de cada mes, un evento para el que los administradores de sistemas pueden prepararse. El día siguiente, conocido informalmente como "miércoles de exploits", [11] marca el momento en que pueden aparecer exploits que se aprovechan de las vulnerabilidades recientemente anunciadas en las máquinas sin parches.
Se eligió el martes como el día óptimo de la semana para distribuir parches de software. Esto se hizo para maximizar la cantidad de tiempo disponible antes del próximo fin de semana para corregir cualquier problema que pudiera surgir con esos parches, mientras que el lunes queda libre para abordar otros problemas inesperados que pudieran haber surgido durante el fin de semana anterior. [1]
Una consecuencia obvia en materia de seguridad es que los problemas de seguridad que tienen solución se ocultan al público durante un máximo de un mes. Esta política es adecuada cuando la vulnerabilidad no es ampliamente conocida o es extremadamente oscura, pero ese no es siempre el caso.
Se han dado casos en los que se ha hecho pública información sobre vulnerabilidades o han circulado gusanos antes del próximo martes de parches programado. En casos críticos, Microsoft publica los parches correspondientes a medida que están listos, lo que alivia el riesgo si se comprueban e instalan actualizaciones con frecuencia.
En el evento Ignite 2015, Microsoft reveló un cambio en la distribución de parches de seguridad. Lanzarán actualizaciones de seguridad para PC, tabletas y teléfonos domésticos tan pronto como estén listas, mientras que los clientes empresariales permanecerán en el ciclo de actualización mensual, que fue rediseñado como Windows Update for Business. [12]
Muchos eventos de explotación se observan poco después del lanzamiento de un parche; [13] el análisis del parche ayuda a los desarrolladores de exploits a aprovechar de inmediato la vulnerabilidad no revelada previamente, que permanecerá en los sistemas sin parchear. [14] Por lo tanto, se acuñó el término "Exploit Wednesday" (miércoles de exploits). [15]
Microsoft advirtió a los usuarios que había interrumpido el soporte para Windows XP a partir del 8 de abril de 2014; los usuarios que utilizaran Windows XP a partir de entonces correrían el riesgo de sufrir ataques. Como los parches de seguridad de las versiones más nuevas de Windows pueden revelar vulnerabilidades similares (o iguales) ya presentes en versiones anteriores de Windows, esto puede permitir ataques a dispositivos con versiones de Windows no compatibles (véase " ataques de día cero "). Sin embargo, Microsoft dejó de reparar dichas (y otras) vulnerabilidades en versiones de Windows no compatibles, independientemente de lo conocidas que se volvieran, lo que dejó a los dispositivos que ejecutaban estas versiones de Windows vulnerables a los ataques. Microsoft hizo una excepción singular durante la rápida propagación del ransomware WannaCry y lanzó parches en mayo de 2017 para Windows XP, Windows 8 y Windows Server 2003, que en ese momento no eran compatibles (además de las versiones de Windows que entonces eran compatibles). [16]
Para Windows Vista, el "soporte extendido" finalizó el 11 de abril de 2017, lo que dejará sin reparar las vulnerabilidades descubiertas posteriormente, creando la misma situación para Vista que antes para XP. [17]
Para Windows 7 (incluido el Service Pack 1), el soporte finalizó el 14 de enero de 2020 [17] y el 10 de enero de 2023, para Windows 8.1 [17] ; esto provocará el mismo problema de "vulnerabilidades no corregidas" para los usuarios de estos sistemas operativos. El soporte para Windows 8 ya finalizó el 12 de enero de 2016 (y los usuarios tuvieron que instalar Windows 8.1 o Windows 10 para seguir recibiendo soporte), y el soporte para Windows 7 sin SP1 finalizó el 9 de abril de 2013 (con la capacidad de instalar SP1 para seguir recibiendo soporte hasta 2020, o tener que instalar Windows 8.1 o Windows 10 para recibir soporte después de 2020). [17]
A partir de Windows 10 , Microsoft comenzó a publicar actualizaciones de funciones de Windows dos veces al año. Estos lanzamientos aportaban nuevas funcionalidades y se regían por la política de ciclo de vida moderna de Microsoft, que especifica un período de soporte de entre 18 y 36 meses. Esto contrasta con las versiones anteriores de Windows, que solo recibían actualizaciones poco frecuentes a través de paquetes de servicios y cuyo soporte se regía por la política de ciclo de vida fijo. Con el lanzamiento de Windows 11 , tanto Windows 10 como 11 comenzaron a recibir actualizaciones de funciones anuales en la segunda mitad del año.
Una vez que finaliza el período de soporte de una versión, los dispositivos deben actualizarse a la última actualización de funciones para recibir actualizaciones de Microsoft. Por ello, en el caso de las ediciones Home y Pro de Windows 10 y 11, la última versión de Windows se descarga e instala automáticamente cuando el dispositivo se acerca a la fecha de finalización del soporte.
Además de las ediciones más utilizadas, como Home y Pro, Microsoft ofrece versiones especializadas de Windows 10 del canal de mantenimiento a largo plazo (LTSC) con plazos de soporte más largos, regidos por la política de ciclo de vida fijo de Microsoft. Por ejemplo, Windows 10 Enterprise 2016 LTSB recibirá soporte extendido hasta el 13 de octubre de 2026 [18] y Windows 10 LTSC 2019 recibirá soporte extendido hasta el 9 de enero de 2029 [19].
El "Security Patch Day" de SAP , cuando la empresa aconseja a los usuarios instalar actualizaciones de seguridad, fue elegido para coincidir con el Patch Tuesday. [20] El programa de actualización de Adobe Systems para Flash Player desde noviembre de 2012 también coincide con el Patch Tuesday. [21] Una de las razones para esto es que Flash Player viene como parte de Windows a partir de Windows 8 y las actualizaciones de Flash Player para la versión incorporada y la versión basada en complementos deben publicarse al mismo tiempo para evitar amenazas de ingeniería inversa. Las actualizaciones trimestrales de Oracle coinciden con el Patch Tuesday. [22]
Windows Update utiliza el Servicio de transferencia inteligente en segundo plano (BITS) para descargar las actualizaciones, utilizando el ancho de banda de red inactivo. [23] Sin embargo, BITS utilizará la velocidad informada por la interfaz de red (NIC) para calcular el ancho de banda. Esto puede provocar errores en el cálculo del ancho de banda, por ejemplo, cuando un adaptador de red rápido (por ejemplo, 10 Mbit/s) se conecta a la red a través de un enlace lento (por ejemplo, 56 kbit/s); según Microsoft, "BITS competirá por el ancho de banda completo [de la NIC]... BITS no tiene visibilidad del tráfico de red más allá del cliente". [24]
Además, los servidores Windows Update de Microsoft no respetan la estrategia de control de congestión de inicio lento de TCP . [25] Como resultado, otros usuarios en la misma red pueden experimentar conexiones significativamente más lentas de máquinas que recuperan actualizaciones de forma activa. Esto puede ser particularmente notorio en entornos donde muchas máquinas recuperan actualizaciones de forma individual a través de un enlace compartido con ancho de banda limitado, como los que se encuentran en muchos hogares con múltiples PC y pequeñas y medianas empresas. Las demandas de ancho de banda para aplicar parches a una gran cantidad de computadoras se pueden reducir significativamente implementando Windows Server Update Services (WSUS) para distribuir las actualizaciones localmente.
Además de descargar actualizaciones desde los servidores de Microsoft, los dispositivos con Windows 10 pueden "compartir" actualizaciones de igual a igual con otros dispositivos con Windows 10 en la red local, o incluso con dispositivos con Windows 10 en Internet. Esto puede distribuir actualizaciones más rápido y reducir el uso de redes con una conexión medida. [26] [27]
{{cite web}}: CS1 maint: bot: estado de URL original desconocido ( enlace )