Докладът на Arctic Wolf за 2026 г. относно състоянието на повърхността за кибератаки анализира обобщени, анонимизирани данни от над 800 000 ИТ активи, наблюдавани чрез платформата Aurora® Exposure Management. Констатациите разкриват общо предизвикателство пред организации от всякакъв мащаб: фундаменталните контроли за сигурност и липсата на видимост върху активите остават широко разпространени проблеми.

Един от всеки три актива няма критична контрола за сигурност

Докладът установява, че 33% от ИТ активите нямат поне една критична контрола за сигурност. По-конкретно:

  • 18% не са обхванати от корпоративно управление на конфигурациите или инсталиране на корекции за сигурност
  • 10% нямат защита на крайните устройства (endpoint security)
  • 17% са невидими за наследените инструменти за управление на уязвимостите

Тези пропуски рядко са изолирани случаи. Най-често те са резултат от фрагментирани ИТ и операции по сигурността, разпокъсани инвентаризации и нарастващ брой използвани инструменти. Когато екипите разчитат на различни системи за отчетност, някои активи неизбежно остават незабелязани.

Последствията могат да бъдат значителни. Устройствата извън процеса по управление на корекциите могат да запазят известни уязвимости за неограничено време. Активите, изключени от сканирането за уязвимости, никога не се оценяват. Незащитените крайни устройства предоставят на атакуващите възможности за кражба на идентификационни данни, странично движение (lateral movement) и разгръщане на рансъмуер.

Проблемът се задълбочава от факта, че повечето организации управляват сигурността на крайните точки, управлението на уязвимостите, инсталирането на корекции за сигурност, идентификационните данни и облачната сигурност чрез отделни платформи. Всяка от тях генерира собствени констатации, приоритети и оценки на риска. Без единен изглед екипите по сигурността трудно разбират кои заплахи са от най-голямо значение.

Краят на жизнения цикъл (EOL) не е изключение

Докладът също така установява, че 19% от ИТ активите са достигнали края на жизнения си цикъл (EOL), което означава, че те вече не получават актуализации за сигурност от съответния производител.

Тези активи често продължават да работят в критични среди, тъй като приложенията зависят от тях или защото организациите приемат, че процесите по миграция са приключили. В средата на един от клиентите на Arctic Wolf, мащабна миграция е намалила активите с изтекъл жизнен цикъл с 41%, но въпреки това 8% от активите са останали без поддръжка, независимо от вътрешното потвърждение, че проектът е приключил.

Урокът е ясен: усилията за отстраняване на проблеми изискват непрекъснато валидиране. Екипите по сигурността трябва независимо да проверяват резултатите, вместо да разчитат на предположения или самоотчитане.

Атакуващите следват пътя на най-малкото съпротивление

Тъй като организациите подобряват защитата на периметъра си, атакуващите променят своята тактика.

Процентът на случаите за реагиране на инциденти на Arctic Wolf, предизвикани от външни експлойти, е спаднал от 29% на 11%, докато злоупотребата с услуги за отдалечен достъп се е увеличила драстично, съставлявайки 65% от случаите на инциденти извън компрометирането на служебна поща (BEC), спрямо 24% три години по-рано. Инцидентите, свързани със злоупотреба с доверени връзки и неправилни конфигурации, също бележат рязък ръст.

Киберпрестъпниците все по-често се насочват към пренебрегнати активи, остарели технологии за отдалечен достъп и системи, при които липсват подходящи контроли за сигурност. Забележително е, че за всяка една от 10-те най-често експлоатирани уязвимости в случаите на Arctic Wolf за 2025 г. е имало налична корекция за сигурност, включително за най-често експлоатираната уязвимост — CVE-2024-40766, засягаща SonicWall SonicOS.

Предизвикателството вече не е просто да се откриват уязвимости, а да се идентифицират и отстраняват рисковете, скрити в неуправляваните части на ИТ средата.

Контекстът превръща констатациите в действия

Сама по себе си оценката на дадена уязвимост рядко отразява реалния риск. Екипите по сигурността се нуждаят от допълнителен контекст, включително:

  • Дали активът е достъпен от интернет
  • Критичността на засегнатата система

Уязвимост с умерена степен на сериозност в критична система с достъп до интернет може да представлява много по-голям риск от критична уязвимост в изолиран сървър. Ефективното управление на уязвимостите съчетава техническите констатации с разузнавателни данни за заплахите, контекста на активите и бизнес приоритетите, за да стимулира смислени действия.

Анализът на повърхността за атаки за 2026 г. разкрива постоянна реалност: организациите продължават да се борят с пропуски във видимостта, липсващи контроли за сигурност, технологии с изтекъл жизнен цикъл и фрагментирано управление на риска. Тъй като атакуващите все по-често експлоатират пренебрегвани активи и доверени пътища за достъп, ефективната киберсигурност зависи от точната инвентаризация на активите, непрекъснатото валидиране и контекстното приоритизиране на риска, а не просто от идентифицирането на уязвимости.