Атаки через давно известные уязвимости снова набирают обороты. По оценке специалистов компании «Информзащита», за одиннадцать месяцев 2025 года число инцидентов, в которых злоумышленники получали первичный доступ за счёт эксплуатации уже описанных CVE, выросло на 33% по сравнению с тем же периодом прошлого года.
Речь идёт о сценариях, где вход в инфраструктуру осуществляется не через фишинг или переписку с сотрудниками, а напрямую — через уязвимости в публично доступных сервисах, корпоративных веб-приложениях, VPN-шлюзах и средствах удалённой поддержки.
Для атакующих это по-прежнему самый удобный путь: он хорошо автоматизируется, почти не затрагивает пользователей и позволяет масштабировать атаки без лишнего шума.
В «Информзащите» связывают рост таких атак с повышением «технологической зрелости» преступных группировок. Эксплойты к новым уязвимостям всё чаще появляются в открытом доступе или подпольных сообществах буквально через дни, а иногда и часы после публикации CVE.
Автоматизированные инструменты анализа и эксплуатации позволяют атакующим действовать быстрее, чем компании успевают протестировать и установить обновления. В результате «время до эксплуатации» часто оказывается значительно короче корпоративных циклов патч-менеджмента.
Отдельную проблему создаёт тот факт, что заметная доля атак строится на уязвимостях, для которых патчи и рекомендации уже давно существуют. Это снижает порог входа и расширяет круг потенциальных нарушителей — от целевых групп до массовых сканеров, работающих через ботнеты и специализированные фреймворки.
В отчётах за последний год упоминались, в частности, цепочки удалённого выполнения кода в SimpleHelp, командные инъекции в BeyondTrust PRA и Remote Support, SQL-инъекции в Fortinet FortiClient EMS, проблемы с обработкой загрузок в продуктах Cleo и уязвимость эквивалентности путей в Apache Tomcat.
Во многих случаях атаки приводили к получению первоначального доступа к серверу или управляющей консоли, извлечению учётных данных, повышению привилегий и дальнейшему перемещению по инфраструктуре. Наиболее уязвимыми остаются пограничные системы и инструменты удалённого администрирования — критичные для бизнеса и при этом доступные из внешней сети.
Как отмечает Анатолий Песковский, руководитель направления анализа защищённости IZ:SOC компании «Информзащита», ключевая причина роста — системный разрыв между моментом раскрытия уязвимости и её фактическим закрытием в корпоративной среде. Сложные инфраструктуры, длительные согласования и отсутствие централизованной политики обновлений увеличивают окно уязвимости и дают атакующим фору.
Распределение атак по отраслям остаётся неравномерным. На финансовый сектор приходится около 34% всех событий, связанных с эксплуатацией уязвимостей. Промышленность и энергетика дают порядка 27% — здесь сказываются критичность процессов и сложность ИТ- и OT-контуров. Электронная коммерция и крупные онлайн-платформы занимают около 22% из-за распределённых систем и динамичной микросервисной архитектуры. Оставшиеся 17% приходятся на госсектор, образование и медицину, где обновления часто откладываются из-за нехватки ресурсов.
Эксперты подчёркивают: одного патч-менеджмента уже недостаточно. На практике лучше всего работает сочетание ускоренных обновлений для критичных и интернет-доступных систем с компенсирующими мерами — сегментацией, изоляцией административных интерфейсов, сокращением поверхности атаки и усиленным мониторингом. В условиях, когда атаки всё чаще маскируются под легитимные запросы, именно детектирование и поведенческая аналитика помогают вовремя заметить инцидент и снизить ущерб.
