Число атак через уязвимости нулевого дня выросло вдвое
изображение: grok
В первом полугодии 2026 года эксперты компании «Информзащита» выявили рост числа атак через уязвимости нулевого дня на 100% по сравнению с аналогичным периодом 2025 года. Общее количество зарегистрированных компрометаций данных за тот же период выросло значительно медленнее — на 3,3%. Разница в темпах указывает на ускорение эксплуатации ранее неизвестных программных ошибок: этот вектор пока занимает небольшую долю в общей статистике, однако его распространение заметно опережает динамику кибератак в целом.
На момент начала эксплуатации уязвимости нулевого дня общедоступного исправления еще нет, а сигнатурные средства могут не располагать признаками конкретного эксплойта. Атакующий получает временное преимущество: способ эксплуатации уже известен ему, пока производитель исследует проблему, готовит патч и проверяет его совместимость. В этот период особенно важна способность компании замечать отклонения в работе системы и быстро ограничивать активность скомпрометированного узла.
Автоматизация анализа кода, фаззинг и инструменты машинного обучения позволяют быстрее находить часть программных ошибок. Эти технологии позволяют проверять больше вариантов входных данных, быстрее находить нестандартные состояния приложения и выявлять цепочки ошибок, которые сложно обнаружить при ручном тестировании. Такие возможности используют и защитники, и злоумышленники. В результате промежуток между обнаружением слабого места и началом его эксплуатации сокращается, а у команд защиты остается меньше времени на оценку риска и подготовку компенсирующих мер.
«Даже выпуск обновления не всегда завершает опасный период, так как сравнивая исправленную и уязвимую версии продукта, атакующие могут восстановить логику ошибки и разработать эксплойт. После этого они могут начать сканирование внешнего периметра в поисках систем, где патч еще не установлен. Для бизнеса риск сохраняется и после раскрытия уязвимости, поскольку корпоративный цикл обновления может занимать несколько недель. Особенно часто задержки возникают в инфраструктуре, где любое изменение требует тестирования, согласования с владельцами бизнес-систем и отдельного технологического окна», — комментирует Анатолий Песковский, директор Департамента наступательной безопасности компании «Информзащита».
Особенно привлекательны для злоумышленников продукты, которые доступны из интернета или имеют широкие права внутри корпоративной сети. К таким системам часто относятся VPN-шлюзы, межсетевые экраны, почтовые серверы, гипервизоры, системы резервного копирования и средства удаленного администрирования. Уязвимость в таком решении в зависимости от ее типа и конфигурации продукта может позволить обойти аутентификацию, выполнить произвольный код, получить привилегированную учетную запись или извлечь секреты для дальнейшего перемещения по инфраструктуре. Быстро отключить критически важный сервис удается не всегда, поэтому компании приходится одновременно поддерживать его работу, искать признаки компрометации и внедрять временные ограничения до выпуска или установки исправления.
Прямое распределение zero-day-атак по отраслям ограничено недостатком сведений о первоначальном векторе, поэтому для оценки наиболее уязвимых сфер следует учитывать общую структуру компрометаций. На финансовые организации приходится 21,5% зарегистрированных событий, на здравоохранение — 15,6%, на профессиональные услуги — 14,9%, на промышленность — 10,5%, на технологический сектор — 5,5%, на образование — 5%. Эти проценты не показывают долю zero-day в каждой отрасли, но отражают концентрацию инфраструктуры и данных, которые представляют интерес для атакующих.
Потенциальный ущерб может быстро расти в цепочках поставок, так как эксплуатация уязвимости в широко используемом сервисе, компоненте или системе удаленного управления может создать путь компрометации сразу для нескольких организаций. За первое полугодие 2026 года первоначальные компрометации поставщиков затронули в среднем более пяти компаний каждая, а на события, связанные с цепочками поставок, пришлось около 59,6% всех уведомлений о компрометации данных. Эта статистика охватывает разные векторы атак, поэтому не показывает распространенность уязвимостей нулевого дня, но иллюстрирует возможный масштаб инцидента через поставщика.
Для снижения риска нужен актуальный реестр активов, в котором указаны версии программного обеспечения, владельцы систем, внешняя доступность и уровень критичности. Приоритет обновления следует определять с учетом активной эксплуатации уязвимости, внешней доступности, уровня привилегий, критичности системы и возможного ущерба. Средства удаленного доступа, защитные шлюзы и продукты с административными функциями часто попадают в первую очередь. Когда исправление отсутствует, компании следует учитывать рекомендации производителя и оперативно применять временные меры: отключать уязвимые функции, ограничивать сетевой доступ, изолировать сервис, вводить дополнительные правила фильтрации и усиливать контроль журналов.
При этом сигнатурной защиты в таком сценарии недостаточно. Центр мониторинга должен отслеживать нетипичный или несанкционированный запуск процессов, появление новых учетных записей, обращения к хранилищам секретов, изменение конфигурации и нетипичный исходящий трафик. Сегментация сети и принцип минимальных привилегий ограничат возможности атакующего после первоначального проникновения, а отдельный административный контур усложнит получение контроля над критическими системами. В договорах с поставщиками необходимо закреплять сроки уведомления об инцидентах и уязвимостях, порядок экстренного обновления и, где это оправдано риском, учитывать требование к предоставлению актуального состава программных компонентов (SBOM).
