Большинство критических уязвимостей на внешних системах остаются открытыми месяцами

Detectify проанализировала внешнюю инфраструктуру 1293 клиентов из США, Великобритании и Северной Европы и обнаружила, что львиная доля критических и высокоопасных уязвимостей висит открытой дольше 90 дней. В Северной Европе дыр 97%, в Великобритании 92%, в США 86%. Все они подтверждены рабочим запросом, то есть реально поддаются эксплуатации, а не числятся в отчёте сканера для красоты.

Цифра в 90 дней показывает срез бэклога на конкретный момент, а не среднее время закрытия тикета. Пара древних дыр, которые пылятся годами, способна испортить статистику даже той команде, что новые проблемы щёлкает за пару дней. Критичная уязвимость может болтаться открытой по вполне земным причинам, и забывчивость админов далеко не единственная из них:

• дыра сидит на малозначимом активе, который прикрыт другими средствами защиты;
• система стоит в очереди на вывод из эксплуатации;
• решение оставить всё как есть принято осознанно и зафиксировано.

Detectify назвала дрейфом допустимого риска ситуацию, когда дыра висит настолько долго, что её начинают считать принятой по умолчанию, хотя никто этого решения не принимал. Российским командам этот сюжет знаком не понаслышке, ведь легаси в отечественных инфраструктурах живёт десятилетиями, а трогать работающий костыль страшнее, чем жить с дырой.

Госсектор показал худший результат из пяти отраслей и закрыл за 90 дней после обнаружения всего 8,3% критических и высокоопасных дыр. Остальные выступили бодрее, но до рекордов далеко:

• потребительский рынок — 46,2%;
• технологические компании — 37,4%;
• финансы и банки — 30,6%;
• производители — 23,9%.

Интересно, что по уязвимостям всех уровней опасности госструктуры закрывали лишь 4,3% проблем в Северной Европе и 2,3% в США.

Гендиректор Detectify Рикард Карлссон объяснил буксование госсектора сразу несколькими причинами. Устаревшие системы, размытая ответственность между подразделениями, бесконечные закупки и согласования, нехватка специалистов и инфраструктура, которую нельзя выключить даже на минуту, складываются в неповоротливую махину. Система может принадлежать соседнему отделу, зависеть от старого вендора или крутить сервис, остановка которого обойдётся дороже самой дыры.

Британские организации держат под постоянным мониторингом 72,4% подтверждённых доменов, тогда как в Северной Европе этот показатель равен 31,9%, а в США 28,9%. Наблюдают британцы усердно, а вот закрывают медленнее всех, потому что за всё время использования Detectify устранили только 18,6% обнаруженных критических и высокоопасных проблем против 20,7% у американцев и 31,9% у северян. В Северной Европе всё наоборот, доля закрытых дыр там выше, зато текущий бэклог оказался самым старым.

Среди американских клиентов Detectify, которые пользуются платформой не меньше года, число подтверждённых доменов за 12 месяцев выросло примерно на 20%, то есть прибавилось больше 100 тысяч. В Великобритании рост составил 14%, в Северной Европе 3,4%. Новый домен, облачный сервис или веб-приложение появляются быстрее, чем о них узнаёт корпоративный реестр активов, и получается классический shadow IT на максималках.

Уточняется, что при самой большой измеренной поверхности атаки американские организации держат под контролем Detectify наименьшую долю доступной извне инфраструктуры.

Рикард Карлссон заявил, что организациям нужно навести порядок в трёх местах:

• назначить понятных владельцев для каждого внешнего актива;
• расставить приоритеты с учётом реальной значимости систем;
• быстрее закрывать небольшое число дыр, которые создают максимальный риск.

Организации с публично доступными ИИ-инструментами, по предварительным данным, исправляют критические и высокоопасные дыры менее чем в половине случаев по сравнению с общим показателем клиентской базы. Сами инструменты, а это платформы вроде Lovable и Base44, исследователи регулярно находят во внешней инфраструктуре клиентов. Карлссон предупредил, что открытый ИИ-сервис ещё не доказывает существование shadow AI, ведь часть инструментов официально одобрена и работает с ведома компании. Российским командам, которые любят поднимать самописные и опенсорсные интерфейсы к нейросетям на собственных серверах, этот пункт стоит примерить на себя.

Open WebUI и LibreChat разворачиваются за вечер, и отдельная команда легко запустит подобный сервис в обход учёта, назначения владельца и проверки безопасности, обязательных для обычных корпоративных платформ. Сам факт существования сервиса правил не нарушает, проблема начинается, когда он выпадает из обычного процесса управления уязвимостями. Для каждого внешнего ИИ-сервиса нужно понимать четыре вещи:

• что вообще торчит в интернете;
• кто отвечает за систему;
• какие данные она обрабатывает;
• к каким учётным данным имеет доступ.

После этого ИИ-инфраструктура должна проходить тот же цикл обнаружения и устранения уязвимостей, что и остальные активы. Иначе экспериментальный сервис незаметно становится полноценной частью внешнего периметра, а его дыры стареют в одном бэклоге со всем остальным.

Эксперты CISOCLUB отметили, что отчёт Detectify описывает не дефицит инструментов, а дефицит владельцев, потому что сканер найдёт дыру за минуты, а решить, чья она и когда её закрывать, способен только человек. Мониторинг без процесса исправления превращается в дорогой генератор тикетов, которые растут в бэклоге быстрее, чем команда успевает их читать. Возраст уязвимости стоит считать метрикой наравне с критичностью, иначе одна древняя дыра на забытом сервере перечеркнёт успехи по всем новым.

Публичные ИИ-сервисы нужно вносить в реестр активов в день запуска, пока на них не выросла зависимость бизнеса. Начинать проще всего с инвентаризации внешних сервисов и назначения ответственных за каждый из них. Всё остальное, от автоматизации патчей до метрик, работает только поверх этого фундамента.

Ранее сообщалось, что в отчёте Picus Blue Report 2026 проанализированы данные 338 млн имитаций атак, проведённых в реальной инфраструктуре клиентов за первую половину года. Средняя результативность защиты составила 69%, поэтому примерно каждая третья атака проходила через защитные механизмы. При этом злоумышленникам теперь требуется около 10 часов от момента раскрытия новой уязвимости до создания рабочего эксплойта. Ещё несколько лет назад подготовить новый набор проверок угрозы за сутки считалось серьёзным достижением команды красных хакеров, но теперь на это уходят часы. Ежедневно в базы добавляется более 130 новых CVE, а upstream-разработчики устраняют менее 0,5% из них.