Количество обнаруженных и раскрытых уязвимостей Common Vulnerabilities and Exposures (CVE) в 2026 году превысило 100 000 в пятницу — это более чем вдвое больше, чем за весь 2025 год. Причина этого явления кроется в двух буквах: ИИ.
«Это просто дико», — заявил Джош Брессерс, директор VulnCheck по скоординированному раскрытию уязвимостей, в интервью The Register. «Что меня почти пугает до чертиков, так это то, что 100 000 звучит как много, но через пару лет мы будем говорить: помните, когда их было всего 100 000?»
По словам Брессерса, на момент нашего интервью, около 16:00 UTC в пятницу, VulnCheck насчитал 100 222 CVE. Только Microsoft во вторник добавила 1094 уязвимости к общему числу, после 1474 уязвимостей в предыдущем месяце.
«Нельзя отрицать, что поиск уязвимостей с помощью ИИ является основной движущей силой того, что мы наблюдаем». Все основные организации, уполномоченные программой CVE присваивать уникальные идентификаторы уязвимостям безопасности (CVE Numbering Authorities, CNA), такие как VulnCheck, Microsoft, Oracle, GitHub и другие крупные поставщики корпоративных ИТ-решений, «сейчас просто кричат в пустоту», — сказал Брессерс. «Это ИИ».
Между тем, процент эксплуатации этих уязвимостей в реальных условиях остается относительно стабильным. Около 1,4% (1363) CVE, опубликованных в этом году, были добавлены в каталог известных эксплуатируемых уязвимостей (KEV) VulnCheck.
«Но, очевидно, по мере роста числа CVE, 1% от 1000 — это совсем не то же самое, что 1% от 100 000», — сказал Брессерс.
Кроме того, как показали другие исследователи в области безопасности, окно между публичным выпуском исправления безопасности и разработкой злоумышленниками рабочих эксплойтов — часто путем обратной инженерии исправления, пока конечные пользователи еще применяют его — стремительно сокращается. И это также «благодаря ИИ».
От CVE к KEV
С января по июнь 88% случаев эксплуатации, зафиксированных CrowdStrike с использованием общедоступного кода proof-of-concept (PoC), произошли в течение 48 часов после выпуска кода. Фирма по безопасности заявила, что группы, связанные с Китаем, такие как Vault Panda и Genesis Panda, действовали еще быстрее, запуская атаки в течение 24 часов после раскрытия информации.
Аналогичным образом, VulnCheck обнаружил, что медианное время от публикации CVE до эксплуатации сократилось со 120 дней в 2025 году до 80 дней в первой половине 2026 года. Это окно еще больше сузилось во второй половине года, что также, по-видимому, совпадает с «вулнпокалипсисом, вызванным ИИ».
«Часто это всего лишь часы», — сказал Брессерс, отметив 14 уязвимостей типа «сделай меня рутом», которые VulnCheck раскрыл в пятницу в холодильных контроллерах Copeland. Две из них активно эксплуатируются. Именно эти устройства использовали иранские хакеры, чтобы испортить продукты и вызвать пожары в супермаркетах по всей Европе.
«Мы опубликовали эти CVE, и буквально через несколько минут мы уже видели обращения на наши honeypots», — сказал Брессерс о уязвимостях устройств Copeland. «Мы достигли точки, когда в отношении всего, что выглядит интересно, кто-то берет эту информацию и смотрит, что с ней можно сделать. Вызвано ли это ИИ? Вероятно. Трудно сказать, что нет, потому что мы видели, как это действительно ускорилось в последнее время».
Этот наплыв программных ошибок требует кардинального изменения подхода всей отрасли к раскрытию уязвимостей и их устранению.
«У нас больше нет проблемы безопасности», — сказал Брессерс. «Теперь у нас проблема данных. Вместо того чтобы зацикливаться на уязвимостях, нам нужно начать смотреть на такие вещи, как тепловые карты инфраструктуры, и определять уязвимости, которые действительно вас затрагивают. CISA BOD помогает в этом».
Приоритеты в условиях «патчпокалипсиса»
Агентство по кибербезопасности и защите инфраструктуры США (CISA) в июне выпустило директиву по кибербезопасности, которая заменяет политики управления уязвимостями с фиксированными сроками. Вместо того чтобы приоритизировать исправление на основе только оценок серьезности CVSS, директива предписывает организациям приоритизировать на основе конкретных критериев риска, включая, подвержен ли актив воздействию Интернета, находится ли он под активной эксплуатацией и может ли злоумышленник автоматизировать эксплойт.
«Это говорит людям определить уязвимости, которые действительно их затрагивают, а затем поставить их в начало списка, вместо того чтобы просто говорить, что мы исправим все критические», — сказал Брессерс.
Раскрытие уязвимостей, сгенерированных ИИ, также создает огромные проблемы для разработчиков и сопровождающих программ с открытым исходным кодом, что Брессерс описывает как проблему безопасности, «очень близкую моему сердцу».
«Есть отдельные разработчики, которые тонут в отчетах об уязвимостях», — сказал он. «Есть фонды, которые раздавлены ИИ-агентами, сканирующими их данные или загружающими их пакеты миллионы раз в день, и это напрягает все швы, куда ни посмотри. Единственное, в чем я могу быть уверен: то, как мы делаем вещи сейчас, должно измениться, и это должно произойти довольно скоро».
Различные проекты с открытым исходным кодом приняли разные подходы к решению этой проблемы. Eclipse Foundation, которая управляет Open VSX Registry, в апреле запустила «управляемый уровень» для корпоративных клиентов и других организаций, использующих Open VSX в больших масштабах.
Вместо использования бесплатной версии с открытым исходным кодом, управляемая версия гарантирует соглашение об уровне обслуживания (SLA) с доступностью 99,95%, подкрепленное сервисными кредитами. Среди ее клиентов — AWS, IBM, Google, Cursor и Windsurf. Этот платный вариант означает, что коммерческие пользователи, полагающиеся на реестр, помогают финансировать его текущее обслуживание — и безопасность и производительность своих собственных платформ.
Тем временем сопровождающий curl, Даниэль Стенберг, ссылаясь на «лавину отчетов об уязвимостях», обновил правила сообщения об ошибках в прошлом месяце. По состоянию на 26 октября все отчеты о низком и среднем уровне серьезности направляются непосредственно в общедоступный репозиторий GitHub, а только высоко- и критически важные уязвимости обрабатываются конфиденциально.
Стенберг уже закрыл программу вознаграждений за обнаружение ошибок curl в этом году, поскольку отправленные ИИ сообщения увеличили нагрузку на его команду безопасности.
«Предстоит сделать еще многое, и я думаю, что реализовать некоторые из этих изменений будет непросто», — сказал Брессерс. «Когда реестр пакетов кардинально что-то меняет, люди начинают паниковать, мир рушится, и люди в LinkedIn жалуются — многие люди колеблются. Никто не хочет первым прыгать в бассейн, полный аллигаторов. Это одна из наших проблем».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
