За первое полугодие 2026 года число атак через уязвимости нулевого дня выросло вдвое

В первом полугодии 2026 года эксперты компании «Информзащита» выявили рост числа атак через уязвимости нулевого дня на 100% по сравнению с аналогичным периодом 2025 года. Общее количество зарегистрированных компрометаций данных за тот же период выросло значительно медленнее – на 3,3%. Разница в темпах указывает на ускорение эксплуатации ранее неизвестных программных ошибок: этот вектор пока занимает небольшую долю в общей статистике, однако его распространение заметно опережает динамику кибератак в целом.

На момент начала эксплуатации уязвимости нулевого дня общедоступного исправления еще нет, а сигнатурные средства могут не располагать признаками конкретного эксплойта. Атакующий получает временное преимущество: способ эксплуатации уже известен ему, пока производитель исследует проблему, готовит патч и проверяет его совместимость. В этот период особенно важна способность компании замечать отклонения в работе системы и быстро ограничивать активность скомпрометированного узла.

Автоматизация анализа кода, фаззинг и инструменты машинного обучения позволяют быстрее находить часть программных ошибок. Эти технологии позволяют проверять больше вариантов входных данных, быстрее находить нестандартные состояния приложения и выявлять цепочки ошибок, которые сложно обнаружить при ручном тестировании. Такие возможности используют и защитники, и злоумышленники. В результате промежуток между обнаружением слабого места и началом его эксплуатации сокращается, а у команд защиты остается меньше времени на оценку риска и подготовку компенсирующих мер.

Особенно привлекательны для злоумышленников продукты, которые доступны из интернета или имеют широкие права внутри корпоративной сети. К таким системам часто относятся VPN-шлюзы, межсетевые экраны, почтовые серверы, гипервизоры, системы резервного копирования и средства удаленного администрирования. Уязвимость в таком решении в зависимости от ее типа и конфигурации продукта может позволить обойти аутентификацию, выполнить произвольный код, получить привилегированную учетную запись или извлечь секреты для дальнейшего перемещения по инфраструктуре. Быстро отключить критически важный сервис удается не всегда, поэтому компании приходится одновременно поддерживать его работу, искать признаки компрометации и внедрять временные ограничения до выпуска или установки исправления.

Прямое распределение zero-day-атак по отраслям ограничено недостатком сведений о первоначальном векторе, поэтому для оценки наиболее уязвимых сфер следует учитывать общую структуру компрометаций. На финансовые организации приходится 21,5% зарегистрированных событий, на здравоохранение – 15,6%, на профессиональные услуги – 14,9%, на промышленность – 10,5%, на технологический сектор – 5,5%, на образование – 5%. Эти проценты не показывают долю zero-day в каждой отрасли, но отражают концентрацию инфраструктуры и данных, которые представляют интерес для атакующих.

Потенциальный ущерб может быстро расти в цепочках поставок, так как эксплуатация уязвимости в широко используемом сервисе, компоненте или системе удаленного управления может создать путь компрометации сразу для нескольких организаций. За первое полугодие 2026 года первоначальные компрометации поставщиков затронули в среднем более пяти компаний каждая, а на события, связанные с цепочками поставок, пришлось около 59,6% всех уведомлений о компрометации данных. Эта статистика охватывает разные векторы атак, поэтому не показывает распространенность уязвимостей нулевого дня, но иллюстрирует возможный масштаб инцидента через поставщика.