Времевата рамка, върху която беше изградено управлението на уязвимостите, тихомълком изчезна. В продължение на десетилетия защитниците можеха да разчитат на седмици или месеци между публичното оповестяване на даден дефект и реалното му превръщане в работеща атака.

Две сили затвориха тази празнина наведнъж.

Първата е огромният обем: новите уязвимости се натрупват много по-бързо от всякога, като само през първата половина на 2026 г. са генерирани повече CVE, отколкото през която и да е пълна година в историята преди 2024 г., пристигайки с тревожна скорост от приблизително една на всеки 7.4 минути.

Втората е скоростта. Изкуственият интелект (AI) бързо изтри това, което беше останало от буфера, както споменахме в скорошна статия. Днес превръщането на препоръка за сигурност в жив експлойт вече не изисква квалифицирани и търпеливи усилия. Часовникът за нулевия ден (Zero Day Clock), който проследява времето до експлоатация при десетки хиляди CVE, сега определя медианното време за 2026 г. на по-малко от един ден, в сравнение с няколко седмици само няколко години по-рано.

За съжаление на екипите по сигурността, защитите не са се придвижили толкова бързо и никой екип не може да се справи с изоставането от кръпки (patches), което буквално расте с всяка минута. Но обемът беше само част от проблема: само малка част от процент от тези CVE някога са били превръщани в жива атака в реална среда.

Това, което се отваря, е разширяващ се период от време, в който нападателите действат свободно, а защитниците са безсилни да ги спрат. Нарастващият проблем е доказателството – отделянето на шепата заплахи, които действително могат да бъдат обърнати срещу вас, от десетките хиляди, които никога няма да бъдат.

Рискът живее там, където не можете да стреляте

Провеждането на непрекъснати тестове за проникване (pentests) вместо веднъж на тримесечие със сигурност стеснява този период, но има ясен таван. Жив експлойт, използван от автоматизирани инструменти за тестване за проникване, може да бъде стартиран само там, където е безопасно да се направи това и където вече съществува използваем експлойт, което в повечето предприятия покрива едва 10 до 15% от тяхната действителна повърхност за атака.

Но останалото остава недоказано с традиционните автоматизирани инструменти за тестване: дефектите без публичен експлойт, регулираните системи и системите с въздушна междина (air-gapped), които са твърде чувствителни, за да издържат на реална атака, както и току-що разкритите грешки, които противниците вече използват, докато защитните инструменти все още изостават.

Въпреки това, доказването на възможността за експлоатация не изисква публичен експлойт или жив изстрел по система, която е твърде критична, за да се рискува. Независимо дали е физическа или виртуална, една верига е толкова здрава, колкото е най-слабото ѝ звено, и не е необходимо да натоварвате цялата верига, за да разберете кое звено би се счупило. Платформата Picus доказва възможността за експлоатация и в двата случая – с експлойт в ръка или без.

Тази празнина в покритието е точно причината CISO (директорите по информационна сигурност) да преместват бюджет от скоростта на пачване към валидирането, а нашето последно ръководство излага пълните аргументи с цифри за защита пред борда на директорите. Вземете вашето копие по-долу.

Докажете веригата, а не експлойта

Ето частта, която започва легитимно да балансира уравнението: можете да докажете дали даден експлойт работи срещу вас, без да се налага действително да натискате спусъка.

Всеки експлойт е поредица от зависими стъпки: първоначално изпълнение, заобикаляне на защитата, ескалация на привилегиите, кражба на идентификационни данни, странично движение. Нападателят се нуждае от всяка необходима стъпка, за да успее, а стъпката успява само ако вашата среда го позволява.

Картографирайте дадена уязвимост към стъпките, от които зависи нейното експлоатиране, след което тествайте всяка от тях спрямо защитите, които действително сте разгърнали. Ако дадена необходима стъпка няма жизнеспособен път през вашите контроли, веригата не може да бъде завършена и експлойтът се проваля на този актив, въпреки че уязвимостта все още е там. Обратното също е вярно: ако всяка необходима стъпка би била успешна, излагането е реално експлоатируемо и можете да подкрепите тази присъда с доказателства, а не с предположения.

Това е логиката на ракетното инженерство. Инженерите квалифицират двигателя, горивната система и топлинния щит един по един, преди изобщо да се направи опит за изстрелване, и ако критичен компонент не премине теста, те знаят, че апаратът не може да лети, без да се налага да рискуват изстрелване.

ИИ счупи управлението на уязвимостите: Аргументите на CISO за преместване на бюджета към BAS

Нов CVE се появява на всеки 7.4 минути, а ИИ превръща съветите в работещи експлойти за по-малко от ден. Никаква програма за пачване не може да поддържа това темпо.

Това ръководство показва защо директорите по сигурността преместват бюджет от скоростта на пачване към валидиране на това, което защитите им действително спират, с цифри, които да защитават пред борда.

Практически пример: Nightmare-Eclipse

Случаят с току-що разкритата грешка става конкретен в момента, в който един човек публикува серия от уязвимости от типа „нулев ден“ за Windows, а криминалната екосистема ги приеме. Точно това се случи с Nightmare-Eclipse. Кодът на експлойта беше публичен в GitHub в рамките на една седмица, но стартирането на действителния зловреден софтуер срещу вашия собствен домейн контролер, за да разберете дали ще сработи, не е тест, за който някой би трябвало да се съгласи.

Погледът назад към това как се разви тази конкретна времева линия е най-ясното илюстриране на това защо доказването на веригата, а не нейното задействане, е толкова ефективен начин за решаване кои пачове да се приоритетизират.

Nightmare-Eclipse (известен още като Chaotic Eclipse, Dead Eclipse) не е група за рансъмуер или държавно спонсорирана група. Той е, по всички налични доказателства, един изследовател по сигурността...