Больше половины организаций не смогут определить уязвимости, которые реально используют злоумышленники

Около 58% организаций не могут уверенно установить, какие уязвимости с наибольшей вероятностью будут использованы в реальных атаках – на практике это означает, что список из тысяч CVE не превращается в список из 5-10 реально опасных точек входа. Лишь 34% компаний автоматически проверяют, можно ли применить известные эксплойты к их конкретным активам - например, сопоставляют результаты сканирования с доступностью сервиса из интернета и наличием защитных контролей. К такому выводу пришли исследователи компании «Информзащита».

В среднем организации используют 14 источников данных о киберугрозах, включая сведения об уязвимостях, активности злоумышленников и новых техниках атак. Без привязки к инфраструктуре эти источники превращаются в шум: аналитик видит десятки новых CVE в день, но не понимает, относятся ли они к его внешнему периметру или к изолированному тестовому стенду. По оценке экспертов, в 2026 году ИБ-команды тратят в среднем 42% рабочего времени на анализ рисков, которые впоследствии оказываются низкоприоритетными или неэксплуатируемыми в конкретной среде.

Вход в инфраструктуру всё чаще происходит не через один доминирующий вектор, а через комбинацию уязвимостей, учетных данных и социальной инженерии, что ломает привычные модели приоритизации. На эксплуатацию уязвимостей приходится около 31% успешных сценариев получения доступа, на фишинг – 16%, на использование скомпрометированных учетных данных – 13%, еще около 6% связаны с претекстингом и другими методами социальной инженерии. В инфраструктуре крупной организации одновременно могут присутствовать тысячи известных уязвимостей, десятки и даже сотни, из которых имеют высокий уровень критичности. При этом злоумышленнику достаточно одной проблемы в VPN-шлюзе, веб-приложении, системе удаленного доступа или другом доступном извне компоненте. Наличие рабочего эксплойта и понятной цепочки дальнейшего перемещения по инфраструктуре часто делает такую уязвимость значительно опаснее технически более критичной проблемы во внутреннем сегменте.

Эксперты связывают рост проблемы с тем, что во многих организациях приоритизация по-прежнему строится преимущественно вокруг формальной оценки критичности. Высокий балл уязвимости автоматически поднимает ее в очереди на устранение, хотя реальная вероятность эксплуатации зависит от расположения актива, его доступности из интернета, конфигурации продукта, наличия публичного эксплойта, интереса атакующих и действующих компенсирующих мер.

Чем больше парк систем и интеграций, тем выше шанс, что критичная уязвимость потеряется среди нерелевантных находок - особенно в компаниях с десятками внешних сервисов и устаревшими сегментами. В розничной торговле эксплуатация уязвимостей может быть связана примерно с 42% случаев первоначального проникновения, в государственном секторе – с 40%, в промышленности – с 38%, в здравоохранении – с 20%. В ритейле риск повышают многочисленные веб-сервисы, распределенная инфраструктура и большое количество внешних интеграций. Государственные организации часто эксплуатируют разнородные информационные системы с разными жизненными циклами. Для промышленных предприятий установка обновления может требовать отдельного технологического окна и предварительной проверки совместимости. В здравоохранении дополнительные ограничения связаны с необходимостью поддерживать непрерывную работу специализированных систем. В каждой из этих отраслей формальная очередность устранения уязвимостей может расходиться с тем, какие активы в конкретный момент представляют интерес для злоумышленников.