От Съла Озерен Хаджиоглу, инженер по изследвания в областта на сигурността в Picus Security.
Ако използвате PaperCut NG или MF, последната седмица на август показа как изглежда реакцията при уязвимости, когато изкуственият интелект ускорява откриването им.
На 27 август извънредното предупреждение на PaperCut заяви, че атакуващите вече експлоатират сървъри. Без CVE, без експлойт, без корекция за сигурност. Първата извънредна корекция за сигурност се появи ден по-късно и беше заобиколена още същия ден. Третата пристигна на 1 септември. Шест дни без действаща корекция за сигурност или експлойт за тестване, докато атакуващите вече извършваха атаки в реална среда.
А прозорецът за реакция се затваря. Времето от разкриването до експлоатацията миналата година беше средно 21,5 дни. Сега то се измерва в часове. PaperCut не е изключението. Той е шаблонът.
По-долу е представен един ден от живота на екип по сигурност, разказан чрез хипотетично CVE.
CVE-то е измислено. Денят не е: той е това, през което преминаха клиентите на PaperCut през август. Нека преминем през него час по час.
08:00 – Появява се CVE. Няма корекция за сигурност.
Събуждате се и CVE-2026-1001 е във вашия фийд: RCE без автентификация, няма корекция за сигурност. Извършвате проверка на версиите. Двадесет актива съвпадат. Преди да успеете да прочетете списъка докрай, телефонът ви извънява. Това е ръководството. Те вече са го видяли, вече са ги попитали за него и искат отговор в следващите петнадесет минути: уязвими ли сме и какво предприемаме по въпроса?
Премахнете паниката и остават точно два въпроса, на които трябва да се отговори:
1. Всъщност уязвими ли са тези 20 актива в моята среда?
2. Биха ли я спряли моите механизми за контрол на сигурността в този момент?
Данните за версията казват „засегнати“. Данните за версията не са отговор. И двата въпроса започват деня с статус „Неизвестно“.
Инсталирането на корекции за сигурност не е опция, защото няма корекция за сигурност.
Спирането на услугите би решило въпроса, но бизнесът зависи от тях. Никой няма да преговаря за това. Трябва ви заключение, а не спиране.
08:05 – Първият ви инстинкт не може да задейства
Естественият ход е да посегнете към вашия инструмент за автоматизирано тестване за проникване. Вземете експлойта, насочете го към 20-те актива и вижте какво ще падне. Затова отивате да търсите експлойта.
Такъв няма. Няма публичен PoC, нищо за стартиране. Инструментът, който би ви дал отговора, чака боеприпаси, както и вие.
Атакуващият не чака. Превръщането в оръжие отнемаше седмици; сега отнема часове, а часовникът започна да тиктака в 08:00. Ако чакате публичен експлойт, първият работещ, който видите, може да е този, който ще ви удари.
08:15 – Експлойтът е верига, а не зловреден код
Ето я промяната. Експлойтът не е просто зловреден код. Той е верига: зловредният код трябва да бъде доставен, трябва да се изпълни и след това атакуващият трябва да ескалира привилегии, да инжектира в процес и да извлече идентификационни данни, за да направи позицията ценна. Всяка стъпка е известна техника и техниките могат да бъдат симулирани безопасно спрямо вашите механизми за контрол, преди някой да е написал самия зловреден код.
Не можете да тествате експлойта, защото такъв няма. Но можете да тествате веригата, която експлойтът би изисквал. Картирайте CVE-то към техниките, които трябва да изпълни — доставка, изпълнение, ескалация на привилегии, инжектиране, достъп до идентификационни данни — и ги стартирайте срещу вашата реална инфраструктура: NGFW, WAF, укрепване на крайни точки, EDR, SIEM. За всеки актив. Резултатът е заключение: би ли успяла тази верига във вашата среда?
Въпросът „уязвимо ли е тук?“ става тестваем десет минути след оповестяването.
Обяснихме подробно как работи това в нашата публикация за валидиране на CVE без работещ експлойт.
08:30 – Симулирано, тествано, записано в тикети
До 08:30 веригата е изпълнена. Резултатите не са успокоителни и точно това е целта. NGFW е пропуснал стъпката по доставка. WAF я е открил, но не я е блокирал. Укрепването на крайните точки е маркирало изпълнението. EDR не е генерирал сигнал за тревога. SIEM не е генерирал сигнал за тревога.
Сега двете неизвестни имат отговори. 20-те актива са изложени на тази верига и нищо в инфраструктурата не би я спряло. Но пролуките си имат имена и отговорници. Създава се план за действие: правило за откриване за NGFW, правило за предотвратяване за WAF, GPO укрепване за крайните точки, IOA правило за EDR, правило за откриване за SIEM. Правилата за EDR и SIEM се внедряват автоматично. Останалите се изпращат като тикети и се обработват през сутринта, заедно с тикет за обновяване за всеки засегнат актив, паркиран до появата на корекция за сигурност.
До 08:45 веригата е изпълнена отново. Този път: открита, блокирана, блокирана, генериран сигнал, генериран сигнал.
Не сте инсталирали никакви корекции за сигурност. Счупили сте веригата на всеки засегнат актив, преди да съществува работещ експлойт.
Научете как да изградите програма за сигурност срещу атакуващи с AI
На The Validation Summit '26 се появява уязвимост без корекция за сигурност и без работещ експлойт.
Вижте как се валидира още през първия ден, след това се тества с реалния експлойт спрямо активните механизми за контрол при пристигането му и се валидира отново след отстраняването. На живо в продукта.
12:00 – Заплахата получава име
Пристигат данни за киберзаплахи. Иранска киберпрестъпна група провежда кампания, използваща CVE-2026-1001. Все още няма публичен експлойт, но атаките са започнали. В 08:00 имахте уязвимост. В 12:00 имате противник.
Това променя въпроса. CVE-то вече е едно звено от пълна верига на унищожение (kill chain): първоначален достъп, странично движение, персистентност, екстфилтрация на данни. Валидирахте уязвимостта тази сутрин. Бихте ли оцелели при кампанията?
12:30 – Цялата кампания, проиграна
Вие вземате новия доклад, извличате миналото поведение на групата от по-ранни доклади и сглобявате цялата кампания като симулация на атака. Стартирате я от край до край срещу вашите механизми за контрол.
- Първоначален достъп: блокиран. Корекциите от 08:30 издържат и сутрешният труд се отплаща двойно.
- Странично движение: открити, задействан е сигнал за тревога.
- Персистентност: пропусната. Това е техника, която работата, фокусирана върху CVE, никога не би могла да изкара на повърхността, защото няма нищо общо с CVE-то.
- Ексфилтрация: блокирана, механизмите за контрол на изходящия трафик издържат.
Пролуката при персистентността преминава през същия цикъл като сутрешния: правилото е доставено, внедрено, повторно доказано. Затворена преди края на обедната почивка. Запомнете тази репетиция.
16:00 – Експлойтът става публичен
Публикуван е работещ експлойт. Сега, и едва сега, тестването на живо разполага с боеприпаси. Автоматизираното тестване за проникване може да изстреля истинското нещо.
Но веднага се появяват две ограничения.
Първо, може да не ви е позволено. Политиката често забранява изстрелването на реални експлойти срещу производствени или критични активи, а принт сървърите, домейн контролерите и OT системите са точно там, където тази политика засяга бизнеса.
Второ, обхват: с реален експлойт пентестът може безопасно да засегне може би 5 от 20-те актива. За останалите 15 отговор може да се получи само по начина, по който отговорихте в 08:15 ч.
16:30 – Реално състояние по два начина
Петте достъпни актива се тестват с реалния експлойт. Три не могат да бъдат експлоатирани: механизмите за контрол, затегнати тази сутрин, се изправят срещу реалната атака и я удържат. Това е потвърждение на живо, че симулираните заключения са били правилни.
Два от тях са уязвими. Те се нуждаят от корекция за сигурност, а такава все още няма, затова тикетите за отстраняване на уязвимостта, отворени в 08:30 ч., се ескалират до критични, с прикрепени работещ PoC и доказателства за експлоатация. Без дебати относно сериозността. Доказателството е в тикета. Докато се появи корекцията за сигурност, двата актива се поставят зад правило за превенция на WAF с ограничен уеб достъп само до доверени IP адреси.
18:00 – Атакуващият пристига. Нищо не се случва.
Кампанията засяга вашата организация. Блокирана. Задействана е тревога. Пропуските вече са затворени. Атаката се проваля срещу механизмите за контрол, валидирани в 08:15 ч., коригирани в 08:30 ч. и потвърдени в 08:45 ч.
Десет часа преди атакуващият да разполага с работещ експлойт, във вашата среда вече нямаше такава уязвимост. Ето какво ви осигурява валидацията с машинна скорост: приключвате, преди те да са започнали.
Какво изискваше този ден
Вижте какво всъщност бе използвано. Не само една възможност, а три, и нито една от тях сама по себе си не е универсално решение:
- Валидация на възможността за експлоатация без активен експлойт, за заключения от първия ден и за активите, които никоя атака не трябва да засяга.
- Валидация на механизмите за контрол на сигурността, за да се докаже, че компенсиращите контроли удържат, и да се улови пропускът в устойчивостта (persistence gap), към който CVE никога не е насочвал.
- Автономен пентест (Agentic pentesting), за определяне на реалното състояние там, където съществува реален експлойт и той може безопасно да бъде задействан.
И те трябваше да работят заедно, по сигнал, за часове. Кампанията от 12:30 ч. повторно използва корекциите от 08:30 ч. Пентестът от 16:30 ч. потвърди заключенията от 08:15 ч. Констатациите от едното захранваха следващото. Ако ги стартирате като три самостоятелни инструмента по три отделни графика, този ден отнема шест седмици, а не десет часа.
Тъкмо това е създадена да прави Picus Platform: валидация на възможността за експлоатация, валидация на механизмите за контрол на сигурността и автономен пентестинг на една платформа, споделяща една обща архитектура за данни, задействани от промяна, а не от календар.
Вижте целия ден на живо
Ще проведем точно този сценарий, на живо в продукта, на The Validation Summit ’26 на 14 октомври от 13:00 ч. ET и на 15 октомври от 11:00 ч. BST.
Мико Хипьонен (Mikko Hyppönen) открива със събитията и промените след Mythos. Нашият технически директор (CTO) Волканер Ертюрк (Volkan Erturk) показва как валидацията с машинна скорост затваря пролуката с липсата на корекции за сигурност и изоставането във времето. Лидери в областта на сигурността от Chanel, Atlassian и Kraft Heinz ще разкажат как всъщност се подготвят. Рон Едингс (Ron Eddings) от Hacker Valley е водещ.
Един отговорен въпрос: как всъщност изглежда готовността за Mythos?
Два часа. Безплатно. Вижте работния процес на живо.
Спонсорирано и написано от Picus Security.