В данном обзоре рассматриваются ключевые события за последние семь дней и предшествующие тридцать дней. Он подготовлен для руководства и совета директоров и фокусируется на остаточном риске, эффективности средств контроля, существенном уровне воздействия и практических последствиях для программ безопасности приложений, целостности цепочки поставок программного обеспечения, периметровых систем и систем управления доступом, а также на возрастающей роли искусственного интеллекта как в атаках, так и в защите. Все оценки основаны на общедоступных рекомендациях вендоров, уведомлениях CISA и авторитетных исследовательских отчетах по состоянию на 14 октября 2026 года.
Исполнительное резюме / Ключевые выводы
Прошедшая неделя ознаследовалась рекордным объемом обновлений Microsoft в рамках Patch Tuesday, а также активно эксплуатируемыми уязвимостями периметровых систем и Windows Shell, которые несут в себе краткосрочный остаточный риск в случае задержки с исправлением. Операторы программ-вымогателей теперь регулярно используют ИИ: согласно недавно опубликованному отраслевому исследованию, ИИ задействован в подавляющем большинстве успешных атак, при этом частой мишенью становятся системы управления доступом. На прошедшей неделе продолжились распространение самореплицирующихся червей в цепочке поставок, что доказывает: одно лишь происхождение пакета не гарантирует его целостность. Обязательства по отчетности в рамках Закона ЕС о киберустойчивости (Cyber Resilience Act) в отношении активно эксплуатируемых уязвимостей действуют с середины сентября, создавая реальные требования комплаенса для производителей продуктов с цифровыми элементами. Наиболее эффективными мерами в краткосрочной перспективе остаются приоритетное устранение известных эксплуатируемых уязвимостей CISA, внедрение шлюзов политик перед загрузкой пакетов и непрерывный контроль внешней поверхности атаки.
Обзор прошедшей недели: критические события
7–14 октября 2026 г.
Выпущенный Microsoft 13 октября в рамках Patch Tuesday патч устраняет 1,413 уязвимостей, что является рекордным месячным показателем за все время. Релиз включает более 1,100 проблем в Windows. Наиболее приоритетным элементом является CVE-2026-96951 — обход функций безопасности Windows Shell (CVSS 8.8, CWE-77), который активно эксплуатируется «в дикой природе». Успешная эксплуатация позволяет злоумышленнику обойти средства защиты Mark of the Web, которые обычно активируют SmartScreen и Protected View. CISA добавила эту уязвимость в свой каталог известных эксплуатируемых уязвимостей в тот же день и установила дедлайн устранения для федеральных ведомств на 16 октября. Независимые аналитики отмечают, что это уже третья уязвимость нулевого дня в Windows Shell, эксплуатируемая в реальных атаках в течение 2026 года, причем обнаружение с помощью ИИ вносит существенный вклад в общий объем.
Вторая высокоприоритетная проблема периметровых систем затрагивает Ivanti Connect Secure. Злоумышленники объединили три уязвимости нулевого дня (частично отслеживаемые под идентификатором CVE-2026-104935: обход аутентификации путем спуфинга, CVSS 8.6, CWE-290), чтобы получить неаутентифицированный корневой доступ на устройствах, которые на момент взлома были полностью обновлены. Опубликованные на этой неделе исследования показывают, что эксплуатация началась еще 3 октября субъектом, отслеживаемым как UTA0576. Наблюдавшаяся активность была сосредоточена на краже учетных данных, разведке в Active Directory, восстановлении паролей LAPS и извлечении ключей восстановления BitLocker. Компания Ivanti выпустила исправления для компонентов обхода аутентификации и удаленного выполнения кода; компонент повышения привилегий, используемый в той же цепочке, на момент написания статьи остается неустраненным. 13 октября CISA добавила CVE-2026-104935 в каталог KEV с тем же федеральным дедлайном 16 октября. Поскольку цепочка эксплойтов работает преимущественно в оперативной памяти, стандартные инструменты проверки целостности могут не обнаружить предшествующий взлом; для любого подключенного к интернету устройства, находившегося в сети после начала октября, требуется проведение форензического анализа сетевых артефактов и дампов памяти.
Активность в цепочке поставок продолжилась. 8 октября была опубликована версия 0.5.144 npm-пакета Tensorlake с полезной нагрузкой из семейки Shai-Hulud. Пакет содержал логику для сбора учетных данных и самораспространения. Исследователи приписывают первоначальное внедрение компрометации учетных данных мейнтейнера в вышестоящем репозитории GitHub. Впоследствии вредоносная версия была удалена, однако любая среда, установившая версию 0.5.144, должна рассматривать локальные учетные данные, токены npm и облачные секреты как скомпрометированные и произвести их ротацию.
К числу дополнительных значимых инцидентов недели относятся заявление компании Meta о том, что украденные учетные данные сотрудников использовались для доступа к репозиториям GitHub, содержащим исходный код продуктов, а также ограниченный объем персональных данных, затрагивающий примерно 1,500 человек (преимущественно сотрудников из США). В Meta заявили, что внутренние системы не были скомпрометированы и что большая часть эксфильтрованного контента представляла собой исходный код бизнес-приложений. Отдельно контроллеры холодильного оборудования в европейских сетях супермаркетов стали мишенью атак на операционные технологии, которые привели к принудительному запуску циклов разморозки и порче продуктов. Критическая уязвимость токена персонального доступа Docker Hub также привлекла внимание из-за своего потенциала обеспечивать маскировку под легитимный репозиторий.
Прошедший месяц: тенденции и сохраняющиеся риски
В более широком тридцатидневном окне выделяются три устойчивых паттерна. Во-первых, операционный темп и сложность атак программ-вымогателей продолжали расти. Официальные данные за третий квартал 2026 года демонстрируют самый высокий квартальный объем атак за всю историю наблюдений. Опубликованный 14 октября опрос компании Semperis показал, что злоумышленники использовали ИИ в 84 процентах рассмотренных инцидентов с программами-вымогателями; 44 процента респондентов сообщили, что злоумышленники эксплуатировали собственные ИИ-системы или агенты целевой организации; а 87 процентов атак были нацелены на инфраструктуру управления доступом, такую как Active Directory, Entra ID или Okta. Почти 70 процентов опрошенных жертв столкнулись с несколькими успешными атаками в течение предыдущего года. Эти цифры показывают, что ИИ больше не является экспериментальным инструментом для атак — он уже внедрен в разведку, генерацию контента, доработку вредоносного ПО и тактику давления.
Во-вторых, атаки на цепочку поставок программного обеспечения демонстрируют системный характер, а не единичные всплески. Самораспространяющиеся черви, которые собирают токены npm и GitHub и перепубликовывают вредоносные версии пакетов, оставались активными на протяжении нескольких волн. Инцидент с Tensorlake на этой неделе согласуется с предыдущими кампаниями, в которых использовались скомпрометированные учетные записи мейнтейнеров или секреты систем CI/CD. Поскольку многие современные процессы разработки и ИИ-ассистенты программирования автоматически устанавливают или обновляют пакеты, радиус поражения каждого отдельного скомпрометированного релиза продолжает расширяться.
В-третьих, периметровые устройства и системы удаленного доступа остаются вектором высокого остаточного риска. Эксплуатированная на этой неделе цепочка уязвимостей Ivanti следует шаблону уязвимостей плоскости управления с отсутствующей или слабой аутентификацией, которые обеспечивают широкий первоначальный доступ. Организации, которые рассматривают исправление этих устройств как стандартный процесс работы с конечными точками, а не как приоритетное мероприятие с учетом данных форензики, сохраняют существенный уровень подверженности рискам даже после применения патчей от вендора.
Регуляторное давление также реально. Обязательства по отчетности в соответствии со Статьей 14 Закона ЕС о киберустойчивости (Cyber Resilience Act) в отношении активно эксплуатируемых уязвимостей и серьезных инцидентов вступили в силу 11 сентября 2026 года. Производители продуктов с цифровыми элементами обязаны подавать раннее предупреждение в течение 24 часов с момента обнаружения такого события с последующей более детальной отчетностью. Полные основные требования к кибербезопасности и обязательства по маркировке CE применяются с 11 декабря 2027 года. Параллельно с этим обязательная операционная директива CISA 26-04 продолжает сокращать федеральные сроки устранения известных эксплуатируемых уязвимостей, формируя практические ожидания, которые многие программы частного сектора теперь рассматривают в качестве внутренних целевых показателей уровня услуг.
Стратегическое предвидение: сигналы на следующие 30–90 дней
Окна эксплуатации продолжают сужаться. Сочетание помощи искусственного интеллекта в исследовании уязвимостей и быстрого публичного распространения концепт-доказательств приводит к тому, что проблемы с высокой ценностью на периферии и в плоскости управления могут перейти от раскрытия к активной эксплуатации за считанные часы или дни. Организации, которые полагаются исключительно на показатели критичности или ежемесячные циклы патчей, сохраняют остаточный риск в системах, которые злоумышленники вероятнее всего атакуют в первую очередь.
Агенты с искусственным интеллектом будут все чаще функционировать как поверхность атаки и как усилитель атак. Скомпрометированные учетные данные разработчиков или токены CI/CD могут использоваться автономными или полуавтономными агентами, которые устанавливают пакеты, фиксируют вредоносные рабочие процессы или собирают дополнительные секреты со скоростью машины. Защита цепочки поставок, которая срабатывает только после того, как код попадает в репозиторий, будет отставать от этого темпа. Сам код, сгенерированный ИИ, создает дополнительный остаточный риск; отраслевые отчеты показывают, что значительный процент задач по кодированию с помощью ИИ вносит обнаруживаемые уязвимости безопасности, особенно проблемы на уровне логики и намерений, которые анализ на основе шаблонов сам по себе может пропустить.
Системы идентификации и периферии останутся векторами наибольшего остаточного риска для программ-вымогателей и целевых вторжений. Злоумышленники продолжают уделять первоочередное внимание этим плоскостям, поскольку успешный взлом обеспечивает широкое латеральное перемещение при относительно скромных дополнительных усилиях после получения первоначального доступа. Готовность к восстановлению систем идентификации, в частности, остается неполной у значительной части организаций.
Регуляторная видимость будет увеличиваться. Поскольку отчетность в рамках CRA уже действует, а требования к продуктам в полном объеме приближаются, организации, выводящие продукты с цифровыми элементами на рынок ЕС, столкнутся с повышенным вниманием к процессам обработки уязвимостей, периодам поддержки и свидетельствам безопасной разработки. Аналогичные ожидания, вероятнее всего, повлияют на запросы клиентов и руководства в других юрисдикциях.
Рекомендации Veracode: как реагируют ведущие программы
Ведущие программы безопасности приложений реагируют на это путем внедрения обеспечения соблюдения политик, непрерывного обзора и контекстуального анализа в точках с наибольшей отдачей, а не полагаясь исключительно на сортировку после сканирования. Текущая платформа управления рисками приложений Veracode Application Risk Management Platform, подтвержденная по актуальной документации на сайтах docs.veracode.com и veracode.com/platform, включает в себя Risk Manager, Fix, Static Analysis, Software Composition Analysis, Dynamic Analysis, External Attack Surface Management, Package Firewall, Software Supply Chain Intelligence, Container Security и сканирование Infrastructure-as-Code, Veracode CLI, интеграции, политики и управление (Policies and Governance), аналитику и маркетплейс Veracode Marketplace (запущен 30 июля 2026 года, где DryRun Security выступает в качестве первого партнера для гибридного контекстуального анализа).
Брандмауэр пакетов (Package Firewall) для контроля входящего трафика цепочки поставок.
Настройте репозитории артефактов и пакетные менеджеры для маршрутизации через Package Firewall, чтобы пакеты, нарушающие политику (вредоносное ПО, тайлсквоттинг, критические уязвимости или проблемы с лицензиями), блокировались до того, как они попадут в конвейер. Это особенно актуально для продолжающейся активности в стиле Shai-Hulud, наблюдавшейся на этой неделе. Практические рекомендации: включите стандартные и пользовательские политики (включая правила Open Policy Agent / Rego) для основных экосистем. Измерьте процент загрузок пакетов, проходящих через брандмауэр. Ссылки: Обзор Package Firewall · Настройка Package Firewall · Управление политиками брандмауэра. Ожидаемый результат: существенное сокращение количества вредоносных пакетов или пакетов, нарушающих политику, попадающих в сборки, с четкой метрикой охвата на уровне руководства.
Сканирование контейнеров и инфраструктуры как кода (Container Security / Infrastructure-as-Code) и анализ состава программного обеспечения (SCA) для шлюзов перед развертыванием.
Сканируйте образы контейнеров, определения Infrastructure-as-Code и внедренные секреты, а также создавайте спецификации состава программного обеспечения (SBOM) перед продвижением. SCA на основе агентов обеспечивает раннюю видимость зависимостей с открытым исходным кодом. Практические рекомендации: интегрируйте эти сканирования в CI-конвейеры с помощью Veracode CLI или сканирования репозиториев, чтобы сбой политики блокировал продвижение. Ссылки: Container Security и IaC · SCA на основе агентов · Veracode CLI. Ожидаемый результат: снижение остаточного риска секретов и уязвимых зависимостей в производственных артефактах, а также улучшение точности SBOM для требований клиентов и регуляторов.
Управление внешней поверхностью атаки (EASM) и динамический анализ (DAST) для обнаружения доступных зон риска.
Обнаруживайте управляемые и неуправляемые внешние активы, а затем тестируйте веб-приложения и API, выходящие в интернет, на наличие уязвимостей времени выполнения. Практические рекомендации: запустите обнаружение EASM для основных доменов, а затем выполните быстрое (Quick) или полное (Full) сканирование DAST для высокоценных или недавно обнаруженных приложений и API. Расставьте приоритеты для находок, которые соответствуют известным эксплуатируемым уязвимостям или высокой степени эксплуатируемости. Ссылки: Обнаружение поверхности атаки · Сканирование веб-приложений и API. Ожидаемый результат: количественная оценка внешней экспозиции, ограниченная активами, до которых злоумышленник действительно может добраться, с приоритезированными результатами времени выполнения.
Менеджер рисков (Risk Manager) для приоритизации в условиях высоких объемов.
Агрегируйте, сопоставляйте и контекстуализируйте результаты статического, композитного, динамического анализа, анализа контейнеров и сторонних источников. Выявляйте первопричину и лучшее следующее действие (Best Next Action), чтобы ограниченные ресурсы на устранение направлялись на наибольший остаточный риск, а не на сырую критичность или объем. Практические рекомендации: передавайте результаты сканирования в Risk Manager и используйте Best Next Action в качестве основного механизма сортировки, особенно при обработке текущего объема «вторника патча» (Patch Tuesday) и любых результатов по периферийным устройствам. Ссылки: Veracode Risk Manager · Политики платформы и проверка. Ожидаемый результат: более быстрое устранение рисков и сокращение времени аналитиков, затрачиваемого на дублирующиеся проблемы или проблемы с низким контекстом.
Исправление (Fix) и статический анализ (Static Analysis) для ускорения устранения.
Создавайте защищенные исправления с помощью ИИ для статических и композитных находок, которые разработчики могут просмотреть и принять прямо в IDE, CLI или рабочих процессах контроля версий. Практические рекомендации: включите Fix для находок с высоким приоритетом, которые не прошли политику, чтобы принятые патчи можно было применить без полной ручной переработки. Ссылки: О Veracode Fix · Сканирование исходного кода. Ожидаемый результат: сокращение среднего времени устранения (MTTR) для дефектов, нарушающих политику, при сохранении проверки разработчиком.
Маркетплейс Veracode с DryRun Security для контекстного анализа кода в эпоху ИИ.
Расширьте детерминированный статический анализ с помощью ИИ-нативного контекстного анализа намерения, поведения и эксплуатируемости кода от DryRun. Этот гибридный подход выявляет логические ошибки, небезопасные прямые ссылки на объекты, нарушения аутентификации и другие проблемы, характерные для разработки с использованием ИИ, которые сканеры на основе шаблонов могут пропустить. Результаты проверки закрепляются за платформой Veracode в рамках единого контракта и журнала аудита. Практические рекомендации: внедрите DryRun через маркетплейс Veracode для глубокого сканирования (DeepScans) репозиториев и обратной связи по пулл-реквестам в GitHub или GitLab, особенно там, где ИИ-ассистенты программирования генерируют существенный объем кода. Ссылки: Маркетплейс Veracode · Veracode + DryRun. Ожидаемый результат: более широкое покрытие остаточных рисков, созданных ИИ и связанных с логикой, более быстрая обратная связь для разработчиков и повторяемые свидетельства для аудита и проверок на соответствие нормативным требованиям.
Интерфейс командной строки (CLI) и интеграции для обеспечения последовательной автоматизации.
Встройте сканирование, оценку политик и маршрутизацию результатов в существующие пайплайны и инструменты разработчика. Практические рекомендации: используйте Veracode CLI для сканирования пайплайнов (Pipeline Scan), безопасности контейнеров (Container Security) и анализа состава программного обеспечения (SCA); подключайте результаты к системам тикетинга и управления. Ссылки: Veracode CLI · Интеграции Veracode. Ожидаемый результат: единообразное применение политик во всех репозиториях и сокращение количества ручных передач задач.
Интеллектуальные данные о цепочке поставок программного обеспечения предоставляют аналитические сведения об угрозах в реальном времени, которые дополнительно влияют на решения Package Firewall и политики SCA.
Что директорам по информационной безопасности (CISO) следует сделать прямо сейчас
Рассматривайте две известные эксплуатируемые уязвимости из каталога CISA (Windows Shell CVE-2026-96951 и Ivanti Connect Secure CVE-2026-104935) в качестве немедленных приоритетов. После поэтапного тестирования примените доступные патчи и проведите форензику (криминалистический анализ) любых доступных из интернета устройств Ivanti, которые находились в сети после начала октября. Выполните ротацию учетных данных и секретов, связанных с этими системами или с любыми учетными записями разработчиков, которые могли установить скомпрометированный пакет Tensorlake.
В течение следующей недели расширьте или подтвердите покрытие Package Firewall для основных экосистем пакетов и убедитесь, что управление внешней поверхностью атаки (EASM) обеспечивает актуальную видимость внешних доменов, а затем проведите целевой динамический анализ для высокоприоритетных веб-приложений и API. Там, где используются инструменты кодирования на базе ИИ, оцените DryRun через маркетплейс для получения дополнительного контекстного покрытия.
В течение месяца направьте результаты сканирования в Risk Manager и установите «Лучшее следующее действие» (Best Next Action) в качестве пути триажа по умолчанию. Проведите или обновите учения по восстановлению учетных записей (identity recovery), сосредоточившись на Active Directory или Entra ID. Подтвердите готовность к выполнению требований по отчетности в рамках Закона о киберустойчивости (Cyber Resilience Act), если организация выводит на рынок ЕС продукты с цифровыми элементами.
На уровне управления обновите отчетность для совета директоров, включив в нее остаточные риски на периферийных устройствах и устройствах удаленного доступа, процент загрузок пакетов, регулируемых политиками, а также среднее время устранения активно эксплуатируемых уязвимостей. Рассматривайте целевые даты устранения известных эксплуатируемых уязвимостей в качестве внутренних целевых показателей уровня обслуживания (SLA).
Заключение
Рекордные объемы уязвимостей, активно эксплуатируемые уязвимости нулевого дня на периферии, а также ускоренная с помощью ИИ активность программ-вымогателей и атак на цепочку поставок сузили окно для эффективного контроля. Организации, которые расставляют приоритеты для известных эксплуатируемых уязвимостей, внедряют обязательные для исполнения шлюзы политик до загрузки пакетов, поддерживают непрерывную видимость внешней поверхности атаки, применяют контекстный анализ для рисков кода эпохи ИИ и распределяют ресурсы на устранение в соответствии с остаточным риском, а не с необъемом сырых данных, снизят реальное воздействие угроз эффективнее тех, кто полагается исключительно на оценки критичности или ежемесячные циклы. Требование заключается в дисциплинированной последовательности применения наиболее эффективных средств контроля по всей платформе.
Этот отчет предоставляется только в информационных целях и не является юридической, технической или профессиональной консультацией. Хотя мы стремимся к точности, Veracode не гарантирует полноту или точность информации. Получатели не должны полагаться исключительно на этот отчет и обязаны провести собственное тщательное расследование и верификацию. Пожалуйста, работайте со своими внутренними командами и соответствующими заинтересованными сторонами для надлежащей оценки, внедрения и устранения любых выявленных угроз или уязвимостей. Информация была собрана из нескольких источников, и Veracode не несет ответственности за любые ошибки, упущения или действия, предпринятые на основе этого контента.
