Новости: уязвимости

В IV квартале 2025 года основной вектор атак — эксплуатация публичных приложений. Несмотря на спад ransomware, угрозы сместились в сторону быстрого использования уязвимостей и компрометации учётных данных. Ключевые риски — устаревшая инфраструктура, отсутствие MFA и недостаточное логирование.

Эксперты Cisco Talos отмечают, что 40% кибератак в IV квартале 2025 года связаны с эксплуатацией уязвимостей. Организациям рекомендуют устанавливать патчи в течение часов, использовать MFA и усиливать защиту фишинга. Уровень угроз от шифровальщиков снизился до 13%.*

Европейское сообщество по кибербезопасности приветствует запуск GCVE.eu — новой базы данных уязвимостей, призванной снизить зависимость от американских ресурсов. Эксперты обсуждают риски фрагментации информации и необходимость полной интероперабельности с CVE для обеспечения оперативного реагирования на угрозы.

Разработчики cURL прекращают программу вознаграждений за баги из-за наплыва низкокачественных, часто сгенерированных ИИ отчётов. Это решение вызвало обеспокоенность среди пользователей, так как угрожает безопасности инструмента, несмотря на то, что разработчики видят в этом единственное спасение от “мусора”, включая LLM, находящие ложные уязвимости и некомпилируемый код.

Ежегодный отчет CBEST за 2025 год выявил, что финансовые организации Великобритании продолжают игнорировать базовые меры кибербезопасности: от слабых паролей и контроля доступа до проблем с обновлением систем. Социальная инженерия остается серьезной угрозой, несмотря на улучшения в MFA.

Библиотека Curl отменила выплаты по программе bug bounty из-за наплыва отчётов, сгенерированных искусственным интеллектом. Администрация проекта заявила, что обработка «мусора от ИИ» истощает ресурсы, что стало следствием ускорения поиска уязвимостей за счёт ИИ-инструментов.

Новое исследование Pentera Labs выявило критическую уязвимость: тестовые и демонстрационные среды кибербезопасности, оставленные без должной конфигурации, становятся точками входа для хакеров. Обнаружены случаи эксплуатации таких сред у ведущих компаний, что привело к доступу к облачным данным и секретам.

Ведущий разработчик проекта cURL Даниэль Стенберг объявил о закрытии программы вознаграждений за найденные уязвимости с января 2026 года. Причина — наплыв недобросовестных отчётов, сгенерированных инструментами ИИ, которые перегружали команду.

Анализ показывает, что стандартная Система оценки общих уязвимостей (CVSS) не отражает реальный операционный риск. Серьёзность уязвимостей, таких как Log4Shell, определяется не только техническими баллами, но и контекстом их распространения через доверенные системы и зависимости. Вводится концепция унифицированной модели связей (ULM) для оценки риска на основе смежности, наследования и доверия.

Узнайте, почему регулярная оценка киберрисков критически важна для современной компании. Статья раскрывает преимущества таких аудитов — от выявления уязвимостей и приоритизации мер до соблюдения комплаенса и снижения финансовых потерь от утечек данных.