От години индустрията за киберсигурност третира уязвимостите като безкрайна опашка от индивидуални корекции. Неодамна публикуван преглед от CISA твърди, че точно това е причината атакуващите да продължават да печелят. Решението на този проблем според тях е елиминирането на цели категории слабости още при самия им източник.

„Чрез намаляването на тези първопричини по време на разработката на софтуер, доставчиците могат да помогнат за предотвратяването на уязвимости, които е по-вероятно да бъдат насочени от автори на заплахи“, заявява американската агенция за киберсигурност.

Но това се постига трудно на практика, особено като се има предвид, че CISA призовава софтуерните производители да внедрят принципите Secure by Design в цикъла на разработка на софтуер от много години, а твърде много от тях се движат твърде бавно в правилната посока.

Малък набор от дефекти, рециклирани безкрайно

Докладът CISA Vulnerability Review: Fiscal Years 2024 and 2025, публикуван през август 2026 г., прави следното тревожно наблюдение: повечето компрометирания през този период не са свързани с zero-day уязвимости на ниво държавни актьори или усъвършенстван инструментариум, а произтичат от опортюнистични киберпрестъпници, сканиращи интернет за открити, известни уязвимости в лошо написан софтуер.

Констатацията съвпада с доклада на Verizon за разследвания на пробиви в данните от 2026 г. (Data Breach Investigations Report), публикуван по-рано тази година, според който експлоатацията на уязвимости вече е най-честият начин, по който атакуващите получават първоначален достъп до целевите мрежи.

Данните на CISA показват повторение на едни и същи слабости година след година. Анализирайки етикетите за Common Weakness Enumeration (CWE) при публикуваните CVE, прегледът установи устойчив клъстер от предотвратими грешки при кодирането – грешки при инжектиране, неправилна валидация на входните данни, сривове в безопасността на паметта (memory safety), преминаване през директории (path traversal) и компрометиран контрол на достъпа – които генерират непропорционално голям дял от реалните атаки.

В каталога на CISA за известни експлоатирани уязвимости (KEV) 41.5% от записите се припокриват с това, което MITRE нарича „упорити слабости“: типове грешки, които се появяват в списъка CWE Top 25 почти всяка година от 2019 г. насам.

CISA споменава и доклада на MITRE от 2007 г., очертаващ „ непростими уязвимости “ – дефекти, произтичащи от добре документирана грешка с очевиден вектор на атака и елементарен експлойт. По този стандарт три от десетте най-често срещани CWE днес биха се считали за непростими преди две десетилетия. Тяхното оцеляване според CISA не е техническа гатанка, а провал на организационната култура и приемането на Secure by Design.

Защо да се стремим към елиминиране на цели класове уязвимости?

Тъй като шепа класове от слабости генерират толкова много индивидуални уязвимости, отстраняването на целия клас премахва множество грешки наведнъж, включително и такива, които все още не са открити.

Вместо да се иска от защитниците да инсталират корекции за сигурност все по-бързо и безкрайно, CISA смята, че тежестта трябва да падне върху софтуерните производители, които да разработват защитени продукти още от самото начало чрез:

  • Автоматизиране на конфигурацията и обновленията
  • Поемане на отговорност за резултатите по сигурността за клиентите
  • Вграждане на сигурността във всеки етап от проектирането и разработката
  • Елиминиране на чести класове уязвимости (и публикуване на пътни карти за останалите).

В прегледа CISA съпоставя повтарящите се слабости – безопасност на паметта, неправилна валидация на входните данни, инжекции, обработка на файлове, контрол на достъпа – с практики, които ги отстраняват. Агенцията също така предупреждава, че много експлоатирани уязвимости обхващат няколко категории слабости, така че разработчиците трябва да приоритезират коригирането на слабости, които злонамерените субекти често експлоатират заедно.

CISA признава, че желаната промяна е сериозно предизвикателство: вграждането на сигурност „изисква техническа дисциплина и ангажираност от страна на ръководството“.

Съществуват и по-трудни икономически препятствия. Елиминирането на грешки, свързани с безопасността на паметта, например, често означава пренаписване на големи C/C++ кодови бази на езици с безопасна памет, което е скъпо и многогодишно предприятие.

Прегледът не разглежда и защо годините на доброволни обещания за Secure by Design са донесли незадоволителни резултати, нито предлага решения за съпротивата на доставчиците срещу „поемането на отговорност за сигурността“, когато тази фраза намеква за правна отговорност.

Превръщане на пазара в съюзник

Един от начините за осъществяване на системна промяна е в ръцете на купувачите. На насоките на CISA Secure by Demand насърчават купувачите да направят сигурността договорно условие.

Те трябва да питат доставчиците кои класове уязвимости вече са елиминирали, дали предоставят машинно четима спецификация на софтуерните компоненти (SBOM), дали продуктът предлага устойчива на фишинг автентификация по подразбиране, дали дневниците за сигурност са включени в основния продукт и други.

Макар да признава, че потребителите и малкият бизнес продължават да носят непропорционално голям дял от тежестта за киберсигурността, CISA се надява, че когато достатъчно купувачи задават едни и същи въпроси и възнаграждават производителите, вграждащи сигурност в продуктите си, доставчиците ще трябва да се адаптират.

„Защитата на софтуерната екосистема е споделена отговорност. Софтуерните производители и организациите крайни потребители играят критична роля“, отбелязва агенцията и заявява, че те трябва да започнат да внедряват предоставените насоки възможно най-бързо.