Une faille de sécurité dans un produit de sécurité, ça existe et Sophos vient d'en faire l'expérience. Les versions antérieures à Sophos Antivirus 3.96 et Sophos Antivirus 4.5.4 sont affectées d'une vulnérabilité de type « buffer overflow » (littéralement, submersion de la mémoire tampon), c'est-à-dire qu'un programme se met à utiliser de la mémoire là où il ne devrait normalement pas. Si cette faille peut être exploitée par un utilisateur malintentionné pour s'introduire dans un ordinateur, Sophos affirme n'avoir eu connaissance d'aucune malveillance de ce type.

Pour l'heure, le problème n'est pas corrigé. Ce devrait être fait dans les deux semaines à venir, à part pour Sophos Anti-virus Small Business Edition, dont une version nettoyée sera disponible vendredi. L'éditeur britannique recommande en attendant d'utiliser les versions de son logiciel qui ne sont pas concernées par cette alerte, en consultant son site Internet .

Ce n'est pas la première fois que l'éditeur voit ses produits mis en défaut. Le 14 juillet dernier, une autre vulnérabilité avait été découverte par un contributeur anonyme du site iDefense, spécialisé dans la veille et l'échange d'informations sur les problèmes de sécurité informatique. Exploitée, cette faille pouvait provoquer un déni de service. Elle a été colmatée depuis.

Mais Sophos n'est pas le seul concerné. La plupart des grands spécialistes de la sécurité ont vu dernièrement leurs produits avoir des ratés. La semaine dernière, McAfee trouvait un problème dans son produit pour entreprises WebShield Appliance. Il permettait à quelqu'un de s'introduire sur la machine d'un tiers sans avoir besoin de s'identifier.

Plus grave, en mars, une autre faille donnait la possibilité d'endommager les systèmes de machines que les logiciels de McAfee étaient censés protéger. Même chose en février dans certains produits de F-Secure et de Trend Micro. Les spécialistes de la sécurité de Secunia avaient qualifié ces derniers problèmes de « hautement critiques ». En avril dernier, c'étaient les produits Symantec qui s'avéraient dérfaillants. Dernière alerte en date avant Sophos, l'antivirus en open source Clam Antivirus, fin juillet, exposait ses utilisateurs à un déni de service. Une vulnérabilité corrigée le jour même.