Дыр, которые атакуют в первые сутки, стало почти втрое больше. Я посчитал, и это только начало

В третьем квартале 2025 года набралось 12 уязвимостей, которые начали ломать в течение суток после того, как о них узнал мир. В третьем квартале 2026-го таких 34. Три года до этого число стояло на месте: от 10 до 20 за квартал.

Я посчитал это сам по двум открытым базам. Американский реестр NVD присваивает номер каждой найденной дыре в программах. Агентство кибербезопасности США CISA ведёт отдельный каталог: туда попадают только уязвимости, через которые уже ломают по-настоящему. У каждой записи в реестре есть дата публикации и дата, когда её внесли в каталог атакуемых. Разница между ними показывает, сколько времени было у владельцев серверов на обновление.

Если взять окно в неделю, картина та же: в третьем квартале 2025 года 19 уязвимостей, в третьем квартале 2026-го 50. За первые недели октября в каталог уже попали атакуемые в день публикации дыры в продуктах Fortinet, Citrix, Ivanti, Cisco, Palo Alto и Windows.

Когда разработчик выпускает заплатку, он заодно показывает, где была дыра. Достаточно сравнить старую и новую версию программы: изменённые строки указывают на ошибку. Раньше разбор такой разницы и код атаки по ней занимали у специалиста дни. Теперь эту работу делает нейросеть, и разница между выходом заплатки и первой атакой съёживается до часов.

С закрытыми программами то же самое. Нейросети научились восстанавливать читаемый код из скомпилированной программы, и сравнить две версии обновления Windows или любого коробочного продукта стало так же просто, как две версии открытого кода. Основатель Replit Амджад Масад написал в начале октября, что скоро любая программа станет открытой де-факто. Пост посмотрели 680 тысяч раз.

Двадцать первого октября это случилось с PHP, на котором работают WordPress, «1С-Битрикс» и большая часть сайтов малого бизнеса. Две критические дыры позволяли выполнить свой код на сервере без входа. Подробности утекли раньше заплатки. Cloudflare включил защитные правила для клиентов за девять часов до официального объявления и, по словам его руководителя, уже тогда видел, как атакующие перебирают варианты обхода. Госсайты Нидерландов, Финляндии и Франции на время отключали, пока ставили обновление.

Основатель Nomad List Питер Левелс рассказал, что предупредил знакомого из крупной технологической компании, у которой вся инфраструктура на PHP. Тот ответил, что поставит заплатку через несколько дней, когда вернётся из отпуска. Вывод у Левелса такой: люди не будут обновляться достаточно быстро, а по самой заплатке дыру сможет восстановить любой.

На прошлой неделе я считал по тому же реестру, сколько уязвимостей находят: в сентябре 2026 года 15 тысяч, годом раньше 4,5 тысячи. Ищут их те же нейросети, которыми пользуются и защитники, и атакующие. Каждая найденная и исправленная дыра теперь превращается в подсказку для тех, кто не успел обновиться. Чем чаще выходят заплатки, тем чаще открывается такое окно.

Важная оговорка про мои цифры. Каталог CISA учитывает только подтверждённые атаки, и американские в первую очередь, так что настоящих атак больше. Моему выводу это не мешает: я сравниваю один и тот же каталог с самим собой за разные годы.

Привычка «обновим на выходных» перестала работать. Теперь у обновления срок в часы. Уходит и правило «у нас всё за паролем, значит безопасно»: дыры последних недель позволяли войти без пароля.

У нас ИИ-агент работает с доступами клиентов к 1С, банку и кабинетам маркетплейсов, поэтому чужие уязвимости мы читаем как обязательную литературу. Одно из наших правил: база данных принимает подключения только с адресов наших серверов, и одного пароля для входа в неё недостаточно.

Сколько часов у вас проходит от выхода обновления безопасности до его установки на рабочий сервер?