Эксплуатация уязвимостей происходит через 3 дня после публикации

Эксплуатация уязвимостей происходит через три дня после публикации

Среднее время между публикацией уязвимости высокого уровня опасности и её эксплуатацией составляет три дня. Такие данные приводит компания Rapid7 в своём отчёте Quarterly Threat Landscape Report за третий квартал 2026 года. 71% зафиксированных случаев эксплуатации произошли в течение первых семи дней после обнаружения уязвимости. Это создаёт сложности для команд безопасности, управляющих растущим списком уязвимостей, так как атакующие могут использовать уязвимости до наступления планового окна для установки исправлений.

Продукт Rapid7 анализирует активность злоумышленников

Исследование Rapid7 за третий квартал 2026 года объединяет данные об уязвимостях, активности программ-вымогателей, отслеживании APT-группировок и информации из подпольных форумов. Это позволяет определить основные направления активности злоумышленников. В третьем квартале Rapid7 отследила 43 новые уязвимости высокого и критического уровня опасности, которые были использованы злоумышленниками. Это на 7% меньше, чем во втором квартале, но на 19% больше по сравнению с аналогичным периодом прошлого года. Основную обеспокоенность вызывает скорость, с которой атакующие начинают эксплуатировать выбранные уязвимости. 80% зафиксированных случаев эксплуатации произошли в течение 14 дней, а 90% — в течение 30 дней после публикации. Такая динамика усложняет работу организаций, полагающихся на фиксированные графики устранения уязвимостей. Отчёт также изучает характеристики уязвимостей, которые делают их особенно привлекательными для атакующих.

Эксплуатируются уязвимости, не требующие аутентификации

Данные за третий квартал выявили тревожную тенденцию: из 43 новых уязвимостей высокого и критического уровня опасности, которые были использованы злоумышленниками, 34 (79%) не требовали аутентификации или какого-либо взаимодействия с пользователем. Это предоставляет атакующим прямой путь к скомпрометированным системам без необходимости кражи учётных данных или использования вредоносного контента. Интернет-сервисы с эксплуатируемыми уязвимостями могут требовать немедленного внимания, особенно если атакующий может получить к ним доступ без аутентификации. Это делает видимость поверхности атаки и контекстуальную приоритизацию критически важными. Команды безопасности должны понимать, какие системы доступны извне, какие уязвимости активно эксплуатируются и могут ли существующие средства контроля предотвратить или ограничить компрометацию. Оценка CVSS сама по себе не даёт полного ответа.

Искусственный интеллект используется для принятия тактических решений

В третьем квартале 8% отчётов об угрозах, отслеживаемых Rapid7, упоминали искусственный интеллект (ИИ) как операционный компонент. Исследование выявило сдвиг от использования ИИ для создания контента или кода к поддержке тактических решений и выполнения в рамках атак. В задокументированных случаях операторы продолжали выбирать цели и определять задачи, но полагались на помощь ИИ для выбора методов, оценки целей и адаптации при неудаче отдельных этапов атаки. Отмечается, что злоумышленники разделяют вредоносные задачи на несколько сессий с использованием ИИ, чтобы обойти защитные механизмы. Эти выводы имеют серьёзные последствия для обнаружения угроз. Атаки с использованием ИИ подчёркивают важность мониторинга и быстрой адаптации к поведению злоумышленников, а не только полагаться на известные сигнатуры вредоносного ПО или идентификаторы атакующих.

Приоритизируйте уязвимости до их эксплуатации атакующими

Выводы за третий квартал демонстрируют проблему, которую не объяснить только количеством уязвимостей. Атакующие использовали 43 новые уязвимости, при этом среднее окно эксплуатации составило всего три дня. Одновременно мониторинг подпольных форумов выявил 41 объявление о продаже доступа через RDP или сетевого доступа, что свидетельствует о продолжающемся интересе к продаже доступа к скомпрометированным средам. Команды безопасности должны учитывать как уязвимости, которые атакующие могут использовать напрямую, так и доступ, который они могут получить другими способами. Начните с идентификации внешне доступных активов и уязвимостей, затрагивающих их. Приоритизируйте известные случаи эксплуатации, пути доступа без аутентификации и системы, поддерживающие критически важные бизнес-функции. Там, где немедленное устранение невозможно, оцените компенсирующие меры контроля и охват обнаружения.