Обновление программного обеспечения — это лишь полдела. Пугающий сценарий, когда сами исправления безопасности обходятся, становится все более распространенным, согласно отчету стартапа по тестированию на проникновение Terra Security. Компания зафиксировала резкий рост числа сообщений о неудачных исправлениях в 2026 году после нескольких лет относительно низких показателей.
И нет, это не совпадение, что обнаружение уязвимостей с помощью ИИ и исправление ошибок также резко возросли в этом году.
Например, российские правительственные кибершпионы использовали уязвимость нулевого дня в Windows Shell, CVE-2026-21510, позволяющую обойти безопасность, как минимум за месяц до того, как Microsoft исправила эту уязвимость в феврале. Однако исправление от Microsoft оказалось неполным и оставило вторую уязвимость — уязвимость принуждения к аутентификации без клика (CVE-2026-32202), — которая также была обнаружена и использована до того, как Microsoft устранила ее в апреле.
Исследователи Terra изучили каждую опубликованную запись CVE и консультативные заключения, проверенные GitHub, в поисках неработающих исправлений, и обнаружили четкую закономерность. После шести лет относительно небольшого количества обходов исправлений ситуация изменилась в 2026 году: «Выпускалось исправление, находился способ его обойти, и выпускалось новое исправление».
Доля исправлений безопасности на GitHub, которые потребовали последующего уведомления о неудачном исправлении в течение 90 дней, оставалась на уровне около 0,2 процента в период с 2019 по 2025 год. В этом году этот показатель подскочил до 2,3 процента, согласно исследователям.
Тем временем уязвимости, исправления которых были впоследствии обойдены, примерно в четыре раза чаще попадали в список известных уязвимых уязвимостей Агентства по кибербезопасности и защите инфраструктуры США (CISA), чем другие ошибки, затрагивающие тех же поставщиков, согласно данным Terra.
Из них чаще всего ломаются исправления для подделки запросов на стороне сервера (server-side request forgery) и исправления для переполнения прототипа (prototype-pollution). По сравнению с их долей среди всех CVE, уязвимости переполнения прототипа были примерно в 11 раз более распространены среди CVE с неработающими исправлениями, в то время как уязвимости подделки запросов на стороне сервера были в 4,6 раза более распространены, согласно Terra.
Это связано со способом исправления этих типов классов ошибок: с использованием списка отклоняемых входных данных, таких как имена хостов, пути и ключи объектов. По словам Terra, этому есть «простая» причина.
«Если черный список не предусматривает каждую кодировку некорректных входных данных, злоумышленнику нужно найти только одну», — заявили исследователи.
Исправления для уязвимостей ядра Linux также с большей вероятностью вызывают новые ошибки, согласно записям ядра CNA по состоянию на 8 октября.
«Фактически, 3,2 процента CVE ядра были введены исправлением другого CVE, а около 10 процентов — в загруженных подсистемах, таких как fs/smb и net/sched», — отметили охотники за ошибками.
Единственным утешением во всем этом, как нам сообщили, является то, что это должно послужить сигналом для поставщиков программного обеспечения и сетевых защитников отказаться от «привычки исправлять и двигаться дальше». Вместо этого, прежде чем выпускать исправления, поставщики программного обеспечения должны рассмотреть три вопроса:
-
Устраняет ли это первопричину?
-
Охватывает ли это весь класс ошибок?
-
Не нарушает ли это что-то еще?
А системным администраторам и менеджерам по установке исправлений: рассмотрите те же вопросы перед применением исправления. «Если поставщик исправляет эксплуатируемую ошибку, предполагайте, что кто-то изучает исправление в поисках способа ее обойти», — советуют пентестеры. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
