28 процентов CVE бьют за сутки: SLA на патч больше не линия обороны
Mandiant M-Trends, пишет Рубен Чакон со ссылкой на The Hacker News, фиксирует: 28,3 процента CVE эксплуатируют в первые 24 часа после публичного раскрытия, часть эксплойтов появляется раньше патча. Edgescan в статистике 2025 года даёт среднее время закрытия высоких и критичных CVE в крупных компаниях 74 дня; 45 процентов уязвимостей в организациях больше 1000 человек не закрывают вовсе. Если атакующий бьёт за сутки, а вы чините два с половиной месяца, SLA — уже не контроль, а описание, сколько вы открыты.
Патч остаётся обязательным
Колонка не зовёт отменить управление уязвимостями. Незакрытые системы по-прежнему частый вход. Меняется роль цифры «95 процентов критичных за 30 дней»: при 28 процентах эксплуатации за сутки риск живёт внутри срока SLA, не после него. Чакон сравнивает патч с заменой масла: без него машина развалится, но от столкновения масло не спасает.
Примеры в тексте: неполный февральский патч Microsoft по утечке NTLM-хеша (CVE-2026-32202) попал в каталог KEV, федеральным агентствам дали две недели на второй срочный пакет; обход аутентификации в cPanel/WHM — больше 40 тысяч серверов, эксплуатация с февраля, после KEV — четыре дня. Это чужие контуры, не «у вас уже так».
Три контроля, которые несут вес
Устойчивость: неизменяемые копии вне контура тех же учёток, прогнанные ручники, права на решение в первые 48 часов. Сегментация: фишинг на ноутбук продаж не должен становиться мостом в цех; 29 апреля CISA с партнёрами выпустила «Adapting Zero Trust Principles to Operational Technology» — сегментация как базовая норма, не «лучшая практика». Идентичность: многие атаки берут дыру, чтобы украсть учётку, и дальше идут легальным входом. Если украденный пароль без устройства, MFA и контекста бесполезен, незакрытая CVE даёт меньше хода.
Где это в модели зрелости
Срок патча и компенсация — уязвимости. Сегментация — архитектура. Карта — /zrelost.
Как проверить
Возьмите десять последних критичных CVE на периметре. Сколько закрыты за 24 часа, сколько живут дольше месяца, сколько висят без компенсации. Если SLA 30 дней и нет сегмента за этим хостом — вы в зоне 74 дней, не в зоне «мы патчим».
Процесс закрытия — от скана до закрытия. Соседний вендорский ракурс про сжатие до 48 часов — гигиена и окно атаки.
Источники
- The CISO Blog / Ruben D. Chacon. The 24-Hour Exploit Window. URL: https://thecisoblog.com/article-24-hour-exploit-window.html.
