Три дня — таков средний промежуток времени между публичным раскрытием уязвимости высокой степени тяжести и ее эксплуатацией, согласно последнему квартальному отчету Rapid7 о ландшафте угроз. При этом 71% случаев эксплуатации, отслеженных в 3-м квартале, произошли в течение первых семи дней.
Для команд безопасности, которые уже справляются с растущим объемом нестрантированных уязвимостей, это порождает сложный вопрос: как снизить риски, когда злоумышленники могут использовать уязвимости до наступления вашего следующего окна установки обновлений?
Исследование Rapid7 за 3-й квартал 2026 года объединяет данные об уязвимостях, активности программ-вымогателей, отслеживании APT-группировок и аналитику с теневых форумов, чтобы показать, где сосредоточена активность злоумышленников.
Окно эксплуатации значительно сузилось
В этом квартале Rapid7 отследила 43 новые эксплуатируемые уязвимости высокой и критической степени тяжести, что на 7% меньше по сравнению со 2-м кварталом, но все же на 19% выше, чем за аналогичный период прошлого года.
Количество новых эксплуатируемых уязвимостей растет не такими темпами, как количество их раскрытий. Более острой проблемой является то, насколько быстро злоумышленники используют выбранные ими уязвимости. В среднем эксплуатация происходила всего через три дня после публичного раскрытия. Отчет также показал, что 80% отслеживаемых случаев эксплуатации произошли в течение 14 дней, а 90% — в течение 30 дней.
Такие сроки создают серьезную проблему для организаций, полагающихся на фиксированные графики устранения уязвимостей. Это также подчеркивает необходимость различать уязвимости, которые теоретически являются серьезными, и те, которые представляют непосредственный эксплуатируемый риск.
В отчете более подробно рассматривается хронология эксплуатации, включая характеристики уязвимостей, которые делают определенные бреши особенно привлекательными для злоумышленников.
Злоумышленники эксплуатируют уязвимости, не требующие взаимодействия
Данные об уязвимостях за 3-й квартал выявили еще одну тревожную закономерность: из 43 отслеживаемых новых уязвимостей высокой и критической степени тяжести 34 (79%) не требовали аутентификации или взаимодействия с пользователем.
Это открывает злоумышленникам потенциальный путь к уязвимым системам без необходимости кражи учетных данных или взаимодействия с вредоносным контентом. Служба, выходящая в интернет и имеющая эксплуатируемую уязвимость, может потребовать немедленного внимания, особенно когда злоумышленник может получить к ней доступ без аутентификации.
Это делает видимость поверхности атаки и контекстную приоритезацию важнейшими задачами. Командам безопасности необходимо понимать, какие системы доступны извне, какие уязвимости активно эксплуатируются и могут ли существующие средства контроля предотвратить компрометацию или ограничить ее масштабы.
Одной лишь оценки по шкале CVSS недостаточно для получения ответов. В отчете исследуются характеристики эксплуатируемых уязвимостей и объясняется, почему понимание доступности имеет решающее значение для снижения риска.
ИИ играет все более оперативную роль в атаках
В 3-м квартале 8% отчетов об угрозах, отслеживаемых Rapid7, упоминали ИИ в качестве операционного компонента. Исследование отмечает сдвиг от использования ИИ в основном для помощи в создании контента или кода к поддержке тактических решений и их реализации в ходе атак.
В задокументированных случаях операторы-люди по-прежнему выбирали цели и определяли задачи, но полагались на помощь ИИ при выборе методик, оценке целей и адаптации в случае неудачи какого-либо шага атаки.
В отчете также рассматривается, как злоумышленники разделяют вредоносные задачи между несколькими сеансами ИИ, чтобы обходить защитные механизмы провайдеров. Эти выводы имеют серьезные последствия для обнаружения угроз. Атаки с использованием ИИ также подчеркивают ценность мониторинга и быстрой адаптации к поведению злоумышленников, а не исключительно опоры на известные сигнатуры вредоносного ПО или идентификационные данные участников угроз.
Отчет предоставляет дополнительный контекст о том, как ИИ проявлялся в отслеживаемых кампаниях и за чем должны следить специалисты по защите.
Следующий шаг: расставьте приоритеты в отношении уязвимостей до того, как их эксплуатируют злоумышленники
Результаты 3-го квартала выявляют проблему, которую невозможно объяснить простым подсчетом уязвимостей. В этом квартале злоумышленники проэксплуатировали 43 новые отслеживаемые уязвимости, однако среднее окно эксплуатации составило всего три дня. Между тем, мониторинг теневых форумов выявил 41 объявление о продаже доступа по RDP или к сети, что демонстрирует сохраняющийся интерес к продаже доступов к скомпрометированным средам.
Команды безопасности должны учитывать как уязвимости, которые злоумышленники могут использовать напрямую, так и доступы, которые они могут получить другими способами.
Начните с выявления доступных извне активов и уязвимостей, влияющих на них. Расставьте приоритеты в отношении известных случаев эксплуатации, путей неаутентифицированного доступа и систем, поддерживающих критически важные бизнес-функции. Там, где немедленное устранение невозможно, оцените компенсирующие меры контроля и возможности обнаружения.
Последний квартальный отчет Rapid7 о ландшафте угроз объединяет исследования уязвимостей, данные о программах-вымогателях, активности на уровне национальных государств и мониторинг даркнета, чтобы помочь командам безопасности понять, где сосредоточены угрозы и что нужно решать в первую очередь. Загрузите и прочитайте его сейчас.
