Информационный бюллетень CISO по рискам: доверенный вход, уязвимости нулевого дня на периферии и код, созданный с помощью ИИ, определяют остаточный риск

Этот бюллетень охватывает важные события за семидневный период с 14 по 21 октября 2026 года и тридцатидневный период с 21 сентября по 21 октября 2026 года. Он предназначен для комитетов по рискам советов директоров, коллег-CISO и руководства по безопасности. Основное внимание уделяется остаточному риску, эффективности средств контроля и обеспечению бизнес-процессов в области безопасности приложений, цепочки поставок программного обеспечения, облаков и инфраструктуры, управления доступом, сторонних рисков и разработки с поддержкой ИИ.

Исполнительное резюме / Ключевые выводы

• PHP2Shell (CVE-2026-109618 and CVE-2026-109619, CVSS v4.0 9.2)* представляет собой пару уязвимостей предварительной аутентификации для удаленного выполнения кода в механизме загрузки сессий PHP session.upload_progress, затрагивающую версии начиная с 5.4. Экстренные исправления были выпущены 21 октября; попытки эксплуатации наблюдались как до, так и сразу после релиза.
• Программа-вымогатель SafePay затронула по меньшей мере 600 организаций критической инфраструктуры с августа 2024 года. Совместное предупреждение CISA, ФБР и Секретной службы США, выпущенное 20 октября, описывает получение первоначального доступа на основе учетных данных и периферийных устройств наряду с преднамеренным уничтожением резервных копий.
• Многочисленные добавления в каталог KEV CISA на этой неделе подтверждают продолжающиеся атаки на устройства удаленного доступа и периферийные устройства, расположенные выше средств контроля приложений по потоку данных. Среди примечательных записей — BeyondTrust Remote Support CVE-2026-102764 (использовавшаяся как уязвимость нулевого дня связанной с Китаем группировкой), цепочка уязвимостей Plex Media Server, Siemens Software Center, SiteGuard, Ivanti Connect Secure и Cisco Secure Email Gateway.
• Скорость атак на цепочку поставок остается высокой за счет компрометации учетных записей разработчиков и каналов обновлений. Доверенный вход продолжает обходить средства контроля, основанные только на обнаружении, до тех пор, пока пакеты и образы не будут заблокированы политиками на источнике.
• Октябрьский выпуск патчей Microsoft (Patch Tuesday) затронул рекордное количество CVE (приблизительно 1,407–1,413), включая эксплуатируемый обход механизма Mark-of-the-Web для Windows Shell. Несколько федеральных сроков устранения уязвимостей по линии KEV уже истекли.
• Разработка с поддержкой ИИ ускоряет создание кода, одновременно порождая риски, связанные с намерениями и бизнес-логикой, которые традиционное сопоставление по шаблонам не способно полностью решить. Программы, объединяющие превентивный контроль входа, непрерывное внешнее обнаружение, проверенное устранение уязвимостей и контекстный анализ на базе ИИ, снижают измеримый остаточный риск.

Обзор прошедшей недели: Критические события (14–21 октября 2026 г.)

Неделя запомнилась экстренным устранением уязвимости удаленного выполнения кода на уровне языковой среды выполнения с широким доступом из интернета, группой эксплуатируемых периферийных уязвимостей и уязвимостей удаленной поддержки, добавленных в каталог KEV, а также продолжающимися компрометациями цепочки поставок инструментов разработки и каналов обновлений.

PHP2Shell представляет высокий остаточный риск. Обе CVE позволяют выполнять неавторизованный удаленный код через сам движок PHP, независимо от кода приложения. Поддерживаемые ветки получили исправления 21 октября (8.2.35, 8.3.36, 8.4.27, 8.5.12). Попытки эксплуатации сообщались несколькими исследователями до и после выхода патчей. Многие устаревшие версии PHP не имеют официальных исправлений, что создает большую и легкую в атаке поверхность для массового сканирования.

SafePay продолжает демонстрировать эффективность получения первоначального доступа к критической инфраструктуре через учетные данные и периферийные устройства. Предупреждение от 20 октября подтверждает более 600 жертв в различных секторах с августа 2024 года, причем злоумышленники эксплуатируют старые периферийные уязвимости, уничтожают резервные копии и оказывают давление посредством кражи данных и прямых контактов.

Периферийные устройства и устройства удаленной поддержки остаются предпочтительной точкой входа. BeyondTrust Remote Support CVE-2026-102764 эксплуатировалась как уязвимость нулевого дня связанной с Китаем группировкой и была добавлена в каталог KEV 16 октября со сроком устранения для федеральных ведомств до 19 октября. Дополнительные добавления в KEV на этой неделе включают цепочку уязвимостей Plex Media Server, неконтролируемый путь поиска в Siemens Software Center, внедрение команд ОС в SiteGuard, обход аутентификации в Ivanti Connect Secure, обход каталога в Cisco Secure Email Gateway и проблемы с интерфейсом управления PAN-OS. Эти уязвимости часто позволяют выполнять привилегированные операции с файлами или горизонтальное перемещение до того, как вступят в силу средства контроля на уровне приложений.

Инциденты в цепочке поставок на этой неделе дополнительно иллюстрируют остаточный риск доверенных каналов. Скомпрометированные учетные записи разработчиков и серверы обновлений затронули релизы OVHcloud CLI, ключи TeamUpdraft UpdraftCentral, использовавшиеся для внедрения бэкдоров на сайты WordPress, пакеты Rank Math PRO и обновления AOMEI Backupper. Эти события показывают, что после принятия пакета или инструмента в среду разработки средств контроля на часто оказывается недостаточно.

Дальнейшие действия: Проведите полную инвентаризацию всех доступных из интернета экземпляров PHP сегодня и примените экстренные патчи для поддерживаемых веток. Изолируйте или выведите из эксплуатации устаревшие версии. Одновременно подтвердите, что устройства удаленной поддержки и периферийные устройства, указанные в добавлениях KEV на этой неделе, пропатчены и что весь комплекс мер криминалистического анализа, указанный CISA, завершен.

Прошедший месяц: Тенденции и постоянные риски (21 сентября — 21 октября 2026 г.)

За тридцатидневный период доминирующей тенденцией стало ускорение атак, использующих доверенные каналы, а не только новые уязвимости нулевого дня. Инциденты в цепочке поставок с участием инструментов разработки, реестров пакетов и серверов обновлений продолжались с высокой интенсивностью. Группировки вымогателей поддерживали высокий объем заявлений о вымогательстве, причем транспорт, логистика и критическая инфраструктура фигурировали часто. Связанные с государствами группировки продолжали атаковать устройства удаленного доступа и периферийные устройства. Объем октябрьского пакета обновлений Microsoft побил очередные рекорды, увеличивая когнитивную и операционную нагрузку на программы управления уязвимостями.

Инструменты на базе ИИ использовались как в разведке злоумышленников, так и в законных рабочих процессах разработчиков. Это повышает остаточный риск проникновения небезопасного сгенерированного кода или скомпрометированных учетных данных агентов в жизненный цикл разработки ПО (SDLC), особенно когда недостатки в намерениях и бизнес-логике не оцениваются систематически.

Что ускорилось: атаки на вход в цепочку поставок и скорость, с которой вновь обнаруженные периферийные уязвимости попадают в каталог KEV.

Что стабилизировалось: основной план атак программ-вымогателей, включающий учетные данные, эксплуатацию периферии и нацеливание на резервные копии.

Что усугубляется: сочетание крупных устаревших языковых сред и сред выполнения, неконтролируемого открытого исходного кода на входе, неполного обнаружения внешних активов и растущих объемов кода, созданного с помощью ИИ.

Стратегическое предвидение: Сигналы на следующие 30–90 дней

Уверенность в следующих обоснованных сигналах оценивается как средняя или выше средней, исключительно на основе проверяемых источников:

• Продолжение быстрого превращения в оружие уязвимости PHP2Shell на любых оставшихся неисправленных или устаревших экземплярах, доступных из интернета, учитывая утечку до раскрытия и размер инфраструктуры PHP.
• Устойчивый интерес к устройствам удаленной поддержки, резервного копирования и VPN. Организации, которые рассматривают их исключительно как инфраструктуру, а не как поверхности приложений с высокими привилегиями, сохранят повышенный остаточный риск.
• Дальнейшая активность в цепочке поставок против интерфейсов командной строки разработчиков, расширений IDE и экосистем пакетов, включая методы, использующие путаницу имен с поддержкой ИИ или автоматизированное распространение.
• Ожидания регулирующих органов и страховых компаний в отношении подтверждаемого покрытия SBOM, среднего времени устранения уязвимостей KEV и наличия превентивных средств контроля при получении пакетов и образов будут и дальше ужесточаться. Все чаще будут запрашиваться отчеты об остаточных рисках на уровне совета директоров, в которых количественно оцениваются заблокированные пакеты и проверенные закрытые элементы KEV.
• Инструменты генерации кода на базе ИИ увеличат объем кода, который необходимо проверять на предмет соответствия намерениям разработчика и наличия изъянов в бизнес-логике. Программы, объединяющие контекстный анализ с детерминированным сканированием, окажутся в более выгодном положении для поддержания эффективности контроля без ущерба для скорости.

Рекомендации Veracode: как реагируют ведущие программы

Текущие возможности платформы Veracode Application Risk Management включают Risk Manager, Fix, статическое тестирование безопасности (SAST), анализ состава ПО (SCA), динамическое тестирование безопасности (DAST), управление внешней поверхностью атаки (EASM), Veracode CLI, интеграции и коннекторы, политики и управление, безопасность контейнеров / сканирование IaC, межсетевой экран пакетов, аналитику цепочки поставок ПО и маркетплейс Veracode (где DryRun Security выступает в качестве первого партнера для контекстного анализа на базе ИИ).

Цепочка поставок и входящий открытый код (Package Firewall + SCA + Software Supply Chain Intelligence)

Направьте репозитории артефактов и пакетные менеджеры через Package Firewall, чтобы не соответствующие требованиям, уязвимые или вредоносные пакеты блокировались до того, как они попадут в пайплайны. Объедините это со сканированием на основе агентов SCA и проприетарной лентой анализа угроз для непрерывной оценки и управления рисками лицензирования. Действие: Внедрите политики Package Firewall для приоритетных экосистем на этой неделе и сделайте результаты SCA обязательным условием для слияния веток (merge gate). Ссылки: Обзор Package Firewall, Создание и настройка Package Firewall, Управление политиками брандмауэра, Сканирование на основе агентов. Измеримый результат: Процент не соответствующих требованиям пакетов, заблокированных при поступлении; сокращение числа критических и высоких уязвимостей открытого кода, попадающих в производственные пайплайны.

Контроль продвижения контейнеров и IaC

Сканируйте контейнеры, файлы IaC и встроенные секреты в CI перед продвижением. Создавайте SBOM и прерывайте сборки при нарушениях политик безопасности в отношении уязвимостей, ошибок конфигурации и секретов. Действие: Включите сканирование Container Security / IaC с помощью CLI или интеграции с репозиторием во всех пайплайнах продвижения. Ссылки: Veracode Container Security, Запуск сканирования Container Security, Veracode CLI. Измеримый результат: Уровень успешного прохождения политик при сканировании контейнеров и IaC до развертывания; количество критических ошибок конфигурации и секретов, заблокированных в пайплайне.

Внешняя и средовая экспозиция (EASM + DAST)

Непрерывно обнаруживайте доступные из интернета активы и проверяйте эксплуатируемые пути в веб-приложениях и API. Это напрямую относится к уязвимости PHP2Shell и веб-поверхностям на периметре. Действие: Запустите обнаружение EASM для всего известного набора доменов и запланируйте целевое сканирование DAST для высокоценных или недавно обнаруженных активов. Ссылки: Обнаружение вашей поверхности атаки, Сканирование веб-приложений и API. Измеримый результат: Процентное сокращение числа ранее неизвестных внешних активов; подтвержденное покрытие DAST для доступных из интернета приложений и API.

Приоритизация, владение и скорость устранения (Risk Manager + Fix + SAST + CLI + Integrations + Policies)

Агрегируйте результаты по всем инструментам, определяйте первопричину и владельца, а также выводите наилучшее следующее действие (Best Next Action). Используйте Fix для помощи ИИ в устранении проблем SAST и SCA. Обеспечивайте соблюдение политик с помощью CLI и интеграций, чтобы только оставшиеся элементы высокого риска требовали участия человека. Действие: Настройте Risk Manager для предоставления руководству отчетов об остаточных рисках и требуйте использования Fix или аналогичных доказательств устранения для критических уязвимостей. Ссылки: Veracode Risk Manager, О Veracode Fix, Сканирование исходного кода на платформе Veracode, Интеграции Veracode, Проверка результатов, Veracode CLI. Измеримый результат: Сокращение среднего времени устранения (MTTR) для KEV и критических уязвимостей; процент дефектов, закрытых с подтвержденными результатами повторного сканирования; тенденция изменения уровня остаточного риска, отчитываемая перед советом директоров.

Код, созданный ИИ, намерения и покрытие бизнес-логики (маркетплейс Veracode с DryRun Security)

DryRun Security — первый партнер в маркетплейсе Veracode. Ее модуль контекстного анализа безопасности оценивает намерения кода, поведение и возможность эксплуатации за пределами синтаксиса, выявляя логические изъяны, небезопасные прямые ссылки на объекты, нарушения аутентификации и другие проблемы, характерные для разработки с помощью ИИ, которые традиционный статический анализ может упустить. Результаты и контекст передаются обратно в платформу Veracode для обеспечения единой политики, отчетности и аудиторских доказательств. Существуют нативные интеграции с Claude Code, Cursor, Codex, GitHub и GitLab, а также глубокое сканирование репозиториев (DeepScans) и применение политик на естественном языке. Действие: Оцените DryRun через маркетплейс Veracode для репозиториев со значительным объемом кода, созданного ИИ или агентами. Свяжите результаты с существующими находками Veracode, чтобы приоритизация и устранение оставались централизованными в Risk Manager и Fix. Ссылки: Маркетплейс Veracode, Обзор Veracode + DryRun. Измеримый результат: Процент запросов на слияние (pull requests), созданных с помощью ИИ, прошедших контекстный анализ намерений до слияния; сокращение количества логических ошибок и нарушений бизнес-правил, попадающих в продакшн; единое представление остаточного риска по результатам детерминированного анализа и логического вывода ИИ.

Что CISOs должны сделать прямо сейчас

• Локализация PHP2Shell (сегодня): Составьте полный список всех экземпляров PHP, примените экстренные патчи на поддерживаемых версиях и изолируйте версии, поддержка которых прекращена. Используйте EASM для подтверждения внешней экспозиции.
• Предотвращение на входе (на этой неделе): Убедитесь, что Package Firewall маршрутизирует приоритетные экосистемы пакетов и что политики безопасности для Container/IaC активны в CI. Измерьте количество заблокированных пакетов и отклоненных продвижений.
• Проверка KEV (48–72 часа): Для каждого элемента, добавленного в каталог KEV с 13 по 20 октября, подтвердите применение патча и завершите все криминалистические проверки, указанные CISA. Зафиксируйте доказательства закрытия в Risk Manager.
• Покрытие кода ИИ (в этом месяце): Проведите пилотное тестирование DryRun через маркетплейс Veracode для высокоскоростных репозиториев. Сопоставьте результаты в Risk Manager, чтобы риски, основанные на намерениях, оценивались наравне с традиционными результатами SAST и SCA.
• Метрика остаточного риска для совета директоров (в этом месяце): Создайте простую панель мониторинга, отображающую процент пакетов за Package Firewall, покрытие внешних активов с помощью EASM, показатель MTTR для элементов KEV и процент кода, созданного ИИ и прошедшего контекстный анализ. Отчитайтесь о базовом значении и первом изменении.
• Защита пропускной способности: Автоматизируйте шлюзы политик с помощью CLI и интеграций, чтобы ручной разбор оставался только для элементов с высоким материальным риском.

Заключение

Прошедшая неделя и месяц показывают, что остаточный риск сосредоточен в точках доверенного входа, привилегированного пограничного доступа и растущих объемов кода, генерируемого искусственным интеллектом. Программы, способные продемонстрировать превентивные меры контроля на этапах приема пакетов и образов, непрерывного внешнего обнаружения, подтвержденного устранения известных используемых уязвимостей и контекстного анализа намерений кода, снизят материальные риски при сохранении скорости разработки. Следующие 30–90 дней принесут пользу тем, кто уже внедрил эти средства контроля и может количественно оценить устраненный остаточный риск.

* Veracode знает о недавно раскрытых критических уязвимостях в PHP (CVE-2026-109618 и CVE-2026-109619) и провела оценку потенциального влияния на нашу клиентскую платформу. Veracode установила, что платформа Veracode, включая Analysis Center, не подвержена влиянию этих уязвимостей. В качестве меры предосторожности мы также проверяем сторонние продукты и службы, используемые в нашей более широкой среде, и работаем с применимыми поставщиками для подтверждения их подверженности и статуса исправления. Любые затронутые службы будут обработаны в соответствии с нашими процессами управления уязвимостями. Мы продолжим следить за событиями, связанными с этими уязвимостями, и предпринимать необходимые действия.

Этот отчет предоставляется исключительно в информационных целях и не является юридической, технической или профессиональной консультацией. Стремясь к точности, Veracode не гарантирует полноту или точность информации. Получатели не должны полагаться исключительно на этот отчет и обязаны провести собственное тщательное расследование и проверку. Пожалуйста, работайте со своими внутренними командами и заинтересованными сторонами для надлежащей оценки, внедрения и устранения любых выявленных угроз или уязвимостей. Информация была собрана из нескольких источников, и Veracode не несет ответственности за любые ошибки, упущения или действия, предпринятые на основе этого контента.