Эксплойты для критических уязвимостей появляются за 3 дня: отчёт Rapid7

Эксплойты для критических уязвимостей появляются за 3 дня

Атакующие всё чаще фокусируются на ограниченном наборе критических уязвимостей. Эксплойты для них появляются в течение трёх дней после обнаружения. Отчёт Rapid7 за третий квартал 2026 года показал рост числа новых эксплуатируемых уязвимостей на 19% по сравнению с прошлым годом. При этом количество новых уязвимостей высокого класса опасности (7-10 по шкале CVSS) выросло на 133%. Число общедоступных кодов для доказательства концепции (Proof-of-Concept) увеличилось на 86%.

Продукт Rapid7 отслеживает эксплуатацию уязвимостей

Rapid7 анализирует данные об уязвимостях и их эксплуатации. Компания отслеживает активность злоумышленников на подпольных форумах. Анализ показал, что большинство упоминаний CVE (Common Vulnerabilities and Exposures) появлялись в сообщениях в течение нескольких дней после их раскрытия вендорами или внесения в каталог CISA KEV (Known Exploited Vulnerabilities). Это указывает на быструю коммерческую переупаковку известных уязвимостей, а не на появление новых уязвимостей нулевого дня. Искусственный интеллект (ИИ) ускоряет обнаружение уязвимостей, но злоумышленники выбирают для атаки лишь определённые из них. Атакующие эксплуатировали выбранные высокоприоритетные уязвимости в среднем за три дня. 71% отслеживаемых Rapid7 атак произошли в течение недели после раскрытия уязвимости. Приоритет отдаётся уязвимостям, не требующим аутентификации и минимального взаимодействия с пользователем для удалённой эксплуатации.

Уязвимости касаются всех систем с устаревшим патчингом

Атакующие предпочитают удалённые, не требующие аутентификации и нулевого клика эксплойты. Почти 80% эксплуатируемых в третьем квартале уязвимостей имели такой профиль. Ежемесячное обновление систем безопасности не соответствует скорости появления угроз. Злоумышленники отказались от такого графика давно. Вместо того чтобы пытаться быстрее исправлять всё, командам безопасности следует приоритизировать установку патчей на основе управления рисками и специфики своих сред. Необходимо выявлять системы, подверженные удалённым атакам без аутентификации и нулевого клика, и оценивать допустимое время их уязвимости.

Обновиться до актуальных версий и выявить критические системы

Команды безопасности должны адаптироваться к миру, где критические уязвимости упаковываются в эксплойты за дни, а не недели. После публичного раскрытия новой высокоприоритетной уязвимости у вас есть примерно 72 часа до начала её использования в реальных атаках. Искусственный интеллект пока играет роль операционного компонента примерно в 8% атак, помогая выбирать тактику или оценивать цели. Человек по-прежнему принимает решение о выборе цели. Однако другие эксперты предупреждают о росте числа атак, оркестрированных ИИ. Российские APT-группы уже используют атаки на базе ИИ, применяя модели с минимальными ограничениями. Это позволяет злоумышленникам использовать более широкий пул технических знаний, чем у обычных команд, состоящих только из людей.