Миллиардные корпорации забивают на критические патчи вдвое чаще мелких компаний

Исследование Chainguard показало, что 66% руководителей по кибербезопасности в компаниях с выручкой от $1 млрд сознательно откладывают исправление критических уязвимостей. В организациях с доходом менее $250 млн об этом сообщили 27% опрошенных. Данные собрали у 1300 специалистов из 10 стран и представили 14 октября на Assemble London.

Участники опроса из Великобритании, США, Франции, Германии, Японии и Бразилии назвали разные тормоза для патчей у больших и малых компаний:

• среди корпораций с выручкой от $1 млрд 48% назвали главным тормозом риск, что после установки исправлений сервисы перестанут работать;
• в тех же корпорациях 46% признались, что задачи, приносящие деньги, получают приоритет над закрытием уязвимостей;
• среди небольших компаний 59% отметили, что им трудно тестировать обновления перед установкой.

Логика корпораций знакома любому, кто хоть раз катил апдейт на прод в пятницу вечером. Аптайм приносит деньги, уязвимость пока ничего не сломала, поэтому патч уезжает в бэклог до лучших времён. Лучшие времена наступают не сразу, а за недели и месяцы сведения о дыре успевают стать публичными, и злоумышленники получают шанс залезть в инфраструктуру.

Интересно, что нехватка денег и людей давно не главный враг. Компания вполне способна закрыть дыру, но предпочитает не трогать работающую систему, а в большой корпорации даже мелкий апдейт превращается в проект с согласованиями и риском простоя.

Организации пробуют вырулить из этой ямы, и в опросе нашлось сразу несколько направлений:

• 51% перебросили сотрудников на закрытие уязвимостей;
• 40% наняли новых специалистов по кибербезопасности;
• 39% расширили инженерные команды;
• 50% перешли на компоненты с безопасными настройками по умолчанию;
• 47% сокращают число сторонних зависимостей, а 42% увеличивают частоту автоматического сканирования.

Современное приложение редко состоит только из кода собственной команды. Внутри сидят десятки и сотни сторонних библиотек и пакетов, и дыра в одной из них прилетает сразу множеству продуктов, даже если собственный код чист как слеза. Российским разработчикам и админам это знакомо не понаслышке, ведь опенсорсные библиотеки сидят и в отечественных проектах. Сканеры помогают найти проблему, но не скажут, какая из дыр реально опасна для конкретной инфраструктуры, а дальше всё равно надо оценить риск, проверить исправление, протестировать и выкатить без простоя.

Искусственный интеллект разгоняет атаки быстрее, чем защитники успевают чесаться, и опрос это подтверждает:

• 91% респондентов заявили, что ускорение атак с помощью ИИ изменило их работу за последнее десятилетие сильнее остальных факторов;
• более половины участников ожидают, что в течение года ИИ-инструменты для поиска уязвимостей будут регулярно находить проблемы быстрее, чем команды защиты успеют их обнаружить и исправить;
• 93% опасаются, что их компании не смогут достаточно быстро закрывать дыры, которые эксплуатируют злоумышленники с помощью ИИ.

Время между обнаружением бага и его эксплуатацией сжимается. Сама уязвимость остаётся прежней, меняется скорость, с которой её находят и используют, а автоматизация позволяет атакующим масштабировать проверку чужих систем. ИИ при этом не снимает ответственность за своевременные апдейты, и самый навороченный детектор не поможет, если организация продолжает откладывать закрытие известной критической дыры.

64% руководителей сообщили, что ускорение атак с помощью ИИ умеренно или значительно способствовало их выгоранию за последний год. 96% признали, что выгорание команды хотя бы отчасти влияет на способность противостоять ИИ-угрозам, а 54% оценили это влияние как умеренное или существенное. Столько же участников считают, что высшему руководству пора проявить больше срочности. Чем сильнее команда перегружена, тем дольше висят алерты и непоставленные патчи.

Деньги на защиту у компаний в основном находятся, а вот с отдачей туго:

• 70% респондентов сообщили, что им легко получить бюджет на ИИ-инструменты защиты;
• 39% купили защитные решения, которые до сих пор не внедрили в работу;
• только 22% считают используемые инструменты очень эффективными;
• 77% руководителей, высоко оценивающих свои решения, всё равно ждут успешной эксплуатации уязвимости в течение года;
• 48% уверены, что вложения пока не дают уровня защиты, которого ждут советы директоров.

Стоит обратить внимание, что покупка нового инструмента не равна росту защищённости. Платформу нужно внедрить, настроить и проверить, а без времени и людей дорогой продукт рискует пылиться на полке, как абонемент в спортзал.

Для российских компаний вывод прикладной. Выручка и бюджеты у всех разные, а привычка откладывать критичный патч до лучших времён встречается везде, и настоящая проверка зрелости защиты заключается не в числе купленных инструментов, а в умении вовремя превращать найденные дыры в закрытые без драмы.

Эксперты CISOCLUB отметили, что отложенный патч в большинстве случаев оказывается управленческим решением, а не техническим сбоем, и лечить его нужно на уровне процессов и приоритетов. Если CISO не может получить окно на обновление, самый продвинутый сканер превращается в генератор тикетов, которые никто не закрывает. Критичные уязвимости стоит разбирать по риску для конкретной инфраструктуры и заранее согласовывать окна простоя, а не торговаться за них каждый раз заново.

Тестовая среда и автоматизация проверки обновлений нужны даже небольшой команде, иначе выбор между патчем и аптаймом всегда решается в пользу аптайма. Купленные, но не внедрённые инструменты дают иллюзию защиты и съедают бюджет, который можно было отдать на людей и процессы. Выгорание специалистов тоже входит в модель угроз, потому что уставшая команда пропускает алерты и ошибается при установке исправлений.

Ранее сообщалось, что компании активно внедряют искусственный интеллект в облачную инфраструктуру и производственные процессы, но не успевают устранять связанные с ним уязвимости. Согласно исследованию Orca Security «Состояние безопасности ИИ в 2026 году», 99,9% предупреждений об уязвимостях ИИ, для которых уже выпущены исправления, остаются без устранения. Эта проблема актуальна и для российских организаций: многие из них используют зарубежные библиотеки, модели и MCP-серверы, наследуя уязвимости соответствующих компонентов.