Согласно данным самой Microsoft, критические уязвимости в сетевых устройствах предприятий остаются неотлаженными более года, даже несмотря на то, что наиболее опасные программные ошибки эксплуатируются в течение нескольких дней после их обнаружения.
Исследовательская группа Microsoft Security сообщила об этих выводах в понедельник, представив анализ примерно 383 000 CVE, раскрытых с 1999 по сентябрь 2026 года. Анализ показывает, что среднее время устранения уязвимости для сетевых устройств превышает год. Для серверов Windows этот период составляет более месяца, для серверов Linux и приложений, работающих на macOS, — более 10 недель, а для рабочих станций Windows — около двух недель.
«Этот разрыв — окно возможностей для злоумышленников, самое широкое в критически важных системах, которые остаются под угрозой дольше всего», — написали исследователи Microsoft Security Яир Царфати и Ор Бегам в блоге, подробно описывающем результаты. Они имели в виду разницу между скоростью эксплуатации уязвимостей и скоростью устранения критических уязвимостей.
Устранение уязвимостей: недели и месяцы
Microsoft получила данные об устранении уязвимостей за 2026 год из своего продукта Security Exposure Management. Согласно сообщению, среднее время исправления уязвимости для рабочих станций Windows составляет около двух недель, но для Windows Server требуется более месяца. Задержка для серверов Linux и приложений, работающих на macOS, превышает 10 недель, а для сетевых устройств — более года.
Вибхум Дубей, специалист по кибербезопасности и red teamer, заявил, что эти выводы отражают то, что он наблюдает в корпоративных средах. В этих средах утверждение изменений, зависимости приложений, окна обслуживания и устаревшая инфраструктура обычно задерживают исправления.
«Сетевые устройства особенно сложны, поскольку обновления прошивки могут повлиять на критически важные бизнес-операции, — сказал Дубей. — Во многих случаях проблема заключается не в выявлении уязвимостей, а в том, чтобы заставить нужные команды устранить их, не нарушая бизнес-сервисы».
Эксплуатация: дни
Эксплуатация происходит гораздо быстрее, написала Microsoft в своем сообщении. Ссылаясь на данные CISA, исследователи заявили, что среднее время от публикации CVE до включения в каталог CISA «Известные эксплуатируемые уязвимости» сократилось с 89 дней в 2024 году до 57 дней в 2025 году. За период с 2026 года по сентябрь среднее значение упало до 20 дней, а медианное — до трех.
«Эксплуатация происходит по противоположным часам: наиболее значимые уязвимости используются в течение нескольких дней, все чаще — в день публикации или до нее», — говорится в сообщении.
Исследователи также сослались на отчет VulnCheck «Состояние эксплуатации за 2026 год», в котором говорится, что 29% эксплойтов в 2025 году были запущены в течение дня после публикации CVE. Отраслевые исследования указывают на достижения в области искусственного интеллекта как на значительный фактор сокращения времени, необходимого для разработки эксплойтов, написала Microsoft в своем блоге.
В некоторых случаях у защитников есть часы, а не недели, сказал Дубей. Уязвимости могут быть использованы до публичного раскрытия или до того, как организации завершат первоначальную оценку.
Он отметил, что предприятиям необходимо отказаться от полной зависимости от ежемесячных сканирований и плановых циклов установки исправлений. Вместо этого, по его словам, им необходим непрерывный мониторинг, процедуры экстренного исправления, виртуальное исправление с помощью средств WAF и IPS, а также четкое распределение ответственности за устранение уязвимостей.
«Приоритетом должно быть сокращение окна уязвимости, потому что к тому времени, когда уязвимость попадает в обычную очередь установки исправлений, злоумышленники могут уже ее использовать», — сказал Дубей.
Куда попадают эксплойты
Анализ показал, что уязвимости, которые фактически используют злоумышленники, сильно отличаются от общей совокупности CVE. Уязвимости удаленного выполнения кода на стороне сервера (RCE) составляют 20% от всех опубликованных CVE, но 37% от тех, которые эксплуатируются в реальных условиях. Уязвимости повышения локальных привилегий увеличиваются с 11% до 18%, а уязвимости RCE на стороне клиента — с 4% до 13%.
Межсайтовый скриптинг (XSS) снижается с 15% опубликованных CVE до 4% эксплуатируемых, а уязвимости отказа в обслуживании (DoS) — с 16% до 7%, по данным исследователей. Уязвимости операционных систем составляют 23% от общей совокупности, но на них приходится 41% эксплуатируемых CVE.
«Эти закономерности соответствуют тому, что злоумышленники предпочитают уязвимости, которые могут обеспечить значительный доступ и контроль», — написали исследователи.
В совокупности RCE, обход аутентификации и повышение локальных привилегий составляют 78% эксплуатируемых в реальных условиях уязвимостей, говорится в сообщении. Windows занимает первое место среди наиболее пострадавших платформ в данных Microsoft по эксплуатируемым CVE.
Приоритизация по степени уязвимости
По мнению Microsoft, ценность уязвимости для злоумышленника зависит от ее воздействия и степени уязвимости. Воздействие — это то, что достигается при успешной эксплуатации. Степень уязвимости — это личности, привилегии и сетевые соединения, доступные с скомпрометированного актива.
Серверы часто используют служебные учетные записи, идентификаторы приложений или облачные управляемые идентификаторы с большими разрешениями, чем необходимо, отмечается в сообщении. Захват одного из них может открыть пути к конфиденциальным данным, административным правам и доверенным сетям.
«Оценки CVSS сами по себе больше не достаточны», — сказал Дубей. По его словам, организации должны приоритизировать уязвимости на основе активной эксплуатации, уязвимости в интернете, критичности актива и потенциальных путей атаки. «Уязвимость средней степени опасности на системе, доступной из интернета, с известным эксплойтом может представлять больший риск, чем критическая уязвимость на изолированном активе», — сказал он.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Gyana Swain
