UA
6 Min Read
Не «чи знайдуть», а «коли ви закриєте»
Навесні 2026 року розмова про кібербезпеку знову стала гучною. 7 квітня Anthropic оголосила Project Glasswing і написала, що її модель Claude Mythos Preview вже знайшла «thousands of high-severity vulnerabilities», зокрема в кожній великій операційній системі та браузері. Загального доступу до моделі компанія не планує. Це заява вендора, а не незалежна оцінка, і читати її варто саме так.
Незалежніша картина від британського AI Security Institute (AISI). У своїй оцінці від 13 квітня інститут пише, що модель першою пройшла 32-кроковий полігон «The Last Ones», який імітує атаку на корпоративну мережу, від початку до кінця, але лише в трьох спробах із десяти. Тут же застереження самого AISI: на полігоні немає активних захисників і захисних засобів, тому про добре захищені системи висновків робити не можна.
З цього випливає практичне питання, яке стосується будь-якої компанії. Якщо вразливості знаходять швидше, перемагає не той, хто більше сканує, а той, хто швидше закриває знайдене. Тож спитайте себе: скільки днів у вас між «знайшли» і «закрили»?
Без паніки: що кажуть дані
Тон «ШІ зламає все» дані не підтверджують. У звіті M-Trends 2026 від Mandiant (Google) прямо сказано: 2025 рік не став роком, коли витоки були прямим наслідком ШІ, а переважна більшість успішних проникнень досі пов'язана з базовими людськими й системними помилками. Звідси й тверезий висновок: основи важливіші за новинки.
Водночас сам звіт показує, чому основи треба робити швидко:
експлойти (використання вразливостей) стали початковим вектором у 32% проникнень, перше місце шостий рік поспіль; голосовий фішинг виріс до 11%;
середній час до експлуатації Mandiant оцінює в мінус сім днів: атаки нерідко починаються ще до виходу патча;
передача доступу від однієї злочинної групи іншій скоротилась з понад восьми годин у 2022 році до 22 секунд у 2025.
VulnCheck у звіті State of Exploitation 2026 додає: 28,96% вразливостей, які потрапили до каталогу KEV (Known Exploited Vulnerabilities, перелік вразливостей з підтвердженою експлуатацією), у 2025 році атакували в день публікації CVE або раніше. Найчастіше ціллю були периметрові пристрої: firewall, VPN, проксі.
Скільки днів вам потрібно насправді
Тепер про те, як із цим справляються організації. За Verizon DBIR 2026, де проаналізовано дані понад 13 000 організацій, у 2025 році повністю закрито лише 26% вразливостей із каталогу CISA KEV (у попередньому році 38%). Медіана повного виправлення зросла до 43 днів проти 32. Експлуатація вразливостей у цьому звіті стала найчастішим початковим вектором проникнення.
Порівняйте ці числа з попереднім розділом. Частина атак стартує до патча, інша частина в день публікації, а медіана повного виправлення в DBIR становить 43 дні. Розрив у цьому, а не в тому, що хтось знайшов ще одну дірку.
П'ять кроків, які скорочують розрив
1. Пріоритет за ознакою реальної експлуатації, а не лише за CVSS. Бал CVSS (Common Vulnerability Scoring System, оцінка серйозності вразливості) показує потенційну небезпеку. Каталог KEV від CISA показує, що вразливість уже використовують. Якщо вразливість із KEV є у вас на периметрі, вона йде перед усім, навіть із середнім балом. Додайте каталог до правила пріоритезації: «є в KEV» піднімає задачу вгору автоматично.
2. Окремий строк на критичні. Загальне «виправляємо за графіком» не працює, коли експлуатація починається за дні. Пропишіть у політиці окремий, короткий строк для вразливостей з KEV і для всього, що стоїть на периметрі, і визначте, хто має право зупинити сервіс заради оновлення. Строк має бути таким, який ви реально здатні дотримати: недосяжна цифра на папері гірша за чесну.
3. Перевіряйте, що виправлення спрацювало. Статус «патч встановлено» ще не означає «вразливість закрита»: оновлення могло не застосуватися на частині серверів, служба не перезапустилась, а конфігурація лишила старий шлях. DBIR недарма окремо рахує «повністю закрито» і «частково закрито». Після кожного виправлення критичної вразливості робіть повторне сканування і фіксуйте результат.
4. Безперервне сканування периметра. Зовнішній периметр змінюється швидше, ніж ви його інвентаризуєте: нові піддомени, забуті тестові стенди, пристрої з оновленою прошивкою. Разове сканування раз на квартал показує стан на один день. Регулярне сканування вразливостей з автоматичним порівнянням «що з'явилось нового» скорочує час між появою проблеми і вашим знанням про неї. А тест на проникнення показує те, чого сканер не бачить: як окремі дрібні недоліки поєднуються в реальний шлях атаки.
5. Перевірка коду до релізу. Найдешевша вразливість та, що не потрапила в продакшн. Якщо у вас є власний код, аудит безпеки вихідного коду до релізу прибирає цілий клас проблем, які потім довелося б латати в терміновому порядку. Особливо це важливо для сервісів, відкритих в інтернет.
Чому саме периметр і чому саме зараз
Периметрові пристрої мають особливість: на них зазвичай не стоїть той захист, що на робочих станціях, а доступні вони з інтернету всім. Тому для зловмисника це найкоротший шлях досередини, і тому VulnCheck бачить їх серед найчастіших цілей. Для вас це означає просту річ: периметр потребує і найкоротшого строку виправлення, і найпильнішого нагляду.
Є й організаційний бік. Вразливість рідко затримується через те, що ніхто не знає, як її виправити. Частіше вона чекає на вікно обслуговування, на згоду власника системи або на тестування, яке нікому призначити. Саме ці паузи й складають ті дні, які ви побачите у своїй метриці. Їх можна прибрати без нових технологій: заздалегідь погодити, хто і за яких умов дає добро на термінове оновлення, і не збирати цю згоду щоразу з нуля.
З чого почати цього місяця
Не з нового інструмента. Візьміть одну метрику: скільки днів проходить від виявлення вразливості до її підтвердженого закриття. Рахуйте медіану окремо для вразливостей із KEV і для решти. Потім подивіться на найстаріші відкриті пункти на периметрі: зазвичай саме там ховається історія, яку сьогодні розповідають звіти.
Якщо це число вас здивує, це нормально. Головне, щоб воно перестало бути невідомим. А далі це інженерна задача: власник у кожної системи, строк, повторна перевірка.
Хочете подивитись на свій розрив між «знайшли» і «закрили» разом із нами? Поговоримо.
Join our newsletter list
Sign up to get the most recent blog articles in your email every week.
Similar Topic
Related Blogs
More Articles
Latest Blogs
Frequently Asked Questions
Wondering About Something? Let’s Clear Things Up!
We’ve gathered all the important info right here. Explore our FAQs and find the answers you need.
What types of cybersecurity services does Audit3A offer?
Audit3A provides comprehensive cybersecurity services including application and infrastructure security, cybersecurity governance risk and compliance, SIEM solutions, vulnerability management, and anti-malware solutions. We also offer penetration testing, web and mobile application security, and fraud risk management.
How can Audit3A help my business comply with industry-specific regulations?
Our team specializes in assisting organizations with establishing effective cybersecurity governance frameworks, managing cybersecurity risks, and conducting audits for compliance with various regulations and standards. We ensure your cybersecurity practices align with industry best practices and regulatory requirements specific to your sector.
What makes Audit3A different from other cybersecurity companies?
Audit3A stands out due to our comprehensive approach, combining advanced technology with expert human analysis. We offer tailored solutions for businesses of all sizes, have a global presence with local expertise, and maintain a strong focus on research and development to stay ahead of emerging threats.
How often should my organization conduct a cybersecurity audit?
The frequency of cybersecurity audits can vary depending on your industry, regulatory requirements, and risk profile. However, we generally recommend conducting a comprehensive audit at least annually, with more frequent assessments of specific areas or in response to significant changes in your IT environment.
Can Audit3A provide cybersecurity solutions for small businesses as well as large enterprises?
Yes, Audit3A offers scalable solutions suitable for organizations of all sizes. We have specific packages designed for small businesses that provide essential security measures while being cost-effective. Our team can tailor our services to meet the unique needs and budget constraints of your business.
What is the process for engaging Audit3A's services?
The engagement process typically begins with an initial consultation to understand your specific needs and challenges. We then conduct a preliminary assessment of your current security posture. Based on this, we propose a customized security plan. Once agreed, we implement the solutions, provide necessary training, and offer ongoing support and monitoring.
How does Audit3A stay updated with the latest cybersecurity threats and technologies?
Audit3A invests heavily in research and development. We have our own R&D lab dedicated to studying emerging cyber threats. We also collaborate with leading universities, participate in developing international security standards, and maintain a program for independent security researchers. Our team regularly updates their skills and certifications to stay at the forefront of cybersecurity technology and practices.
You can copy our materials only after making sure that your services are safe.
This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.