Периферийные устройства стали общей дверью, а окно для патчей сжалось до трёх дней

Одна неделя, два типа атакующих, один слой

За четыре дня, с 27 по 30 сентября, Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило 4 записи в каталог уязвимостей, эксплуатация которых доказана (KEV). Три из них касались продуктов на периферии сети. Периферийные устройства — это шлюзы, VPN, маршрутизаторы и узлы SD-WAN, через которые корпоративная сеть выходит в интернет.

Citrix 27 сентября объявила о 2 уязвимостях NetScaler с оценкой 9,5. По данным Help Net Security, их эксплуатировали за несколько недель до публикации. Атакующие оставляли веб-оболочки и затирали следы; источник квалифицировал операцию как вероятный шпионаж, связанный с государством. 30 сентября последовала уязвимость Cisco SD-WAN Manager с оценкой 9,8. По подсчёту Rapid7, это уже 5-я уязвимость нулевого дня в этом продукте за 2026 год.

Вымогатели в ту же неделю тоже были в центре событий. 30 сентября операция при поддержке Европола отключила 5 серверов группировки KillSec. С 2024 года группировка провела около 1 000 атак, 500 из которых оказались успешными. Каким путём KillSec проникала в сети в этих 1 000 атаках, не раскрывается. Однако в данных CISA из 56 записей о периферийных продуктах, внесённых в каталог в 2026 году, 6 помечены как использованные в кампаниях вымогателей.

Окно для патчей сжалось до трёх дней

По расчёту Talay на основе каталога KEV, у 245 уязвимостей, внесённых в 2025 году, медианный федеральный срок установки патча составлял 21 день. У 247 уязвимостей, внесённых в 2026 году по состоянию на 1 октября, медиана сократилась до 3 дней. В 124 записях срок составляет 3 дня или меньше; в 2025 году таких было 7.

Вместе со скоростью вырос и объём. В сентябре 2026 года в каталог вошли 43 уязвимости — примерно в 2,7 раза больше, чем 16 в сентябре 2025 года, и это максимум за год. 18 из 43 записей относятся к продуктам Cisco, Citrix, Fortinet, SonicWall, Check Point, F5, MikroTik, Zyxel и Arista. Крайний срок для уязвимости Cisco SD-WAN — 3 октября. Поскольку она даёт права администратора одним HTTP-запросом, 3 дня — не мало, а необходимо.

Проблема в том, что трёхдневное окно обязательно лишь для федеральных ведомств США. Частные компании и государственные органы других стран сталкиваются с той же уязвимостью в те же 3 дня, но соблюдать этот срок не обязаны. В случае Citrix эксплуатация началась за несколько недель до публикации. Иными словами, к моменту открытия окна в некоторых сетях атакующий уже находился внутри.

Поверхность атаки расширяет геополитика

По данным Cisco Talos, связанная с Китаем группа UAT-11587 с сентября 2025 по июль 2026 года установила бэкдор Antino примерно на 350 устройств в 8 странах. Целями были оборонные ведомства, министерства иностранных дел и аналитические центры, в том числе на Тайване, в Индии, на Филиппинах и в Пакистане. По сообщению The Record, кампанию обнаружили в марте 2026 года по целевым письмам; бэкдор каждые 10 секунд получает команды через Microsoft 365.

В том же списке и уровень идентичности. По данным Proofpoint, прокитайская группа TA419 с 8 июля выдавала себя за бывшего сотрудника Белого дома по научной политике. От его имени эксперты по политике в области ИИ получали фиктивные приглашения в консультативные советы. По сообщению The Register, в феврале 2026 года группа также выдавала себя за руководителя Anthropic. Одним из 2 фальшивых предложений группы был вымышленный доклад Сената об экспортном контроле в сфере ИИ. Чем больше эта тема превращается в предмет торга, тем чаще мишенью становятся её эксперты.

Энергетический кризис и война дают тот же эффект в Персидском заливе. Согласно докладу CloudSEK, на который ссылается The National, число записей о вымогательских атаках в регионе выросло с 17 в апреле 2025 года до 357 в июне 2026 года. В ОАЭ число ежедневных попыток атак увеличилось с 200 000 до войны примерно до 800 000.

Расчёт издержек пока отстаёт

Атака вымогателей на Keio 26 сентября не остановила поезда, но нарушила оплату картами в магазинах, отелях и автобусных кассах. В Times Car утекли данные водительских прав и удостоверений личности по 6,6 млн учётных записей. В Турции KVKK 30 сентября сообщило о 9 утечках. В записях, где число пострадавших раскрыто, затронуто не менее 1 033 853 человек, а утечка в Papara Menkul началась с фишинга, нацеленного на Okta.

Цена страховки при этом движется в обратную сторону. По индексу Marsh, мировые цены на киберстрахование во II квартале 2026 года снизились на 4%, и это 12-й квартал снижения подряд. В регионе Индии, Ближнего Востока и Африки снижение составило 14%. Marsh объясняет его избытком ёмкости, низкой стоимостью перестрахования и высокой доходностью. 43 эксплуатируемые уязвимости сентября в этих ценах пока не учтены.

Финансовый рынок тоже спокоен: по данным Cboe, индекс волатильности VIX 1 октября составлял 16,39. Такое спокойствие говорит о том, что киберриск пока остаётся на балансах отдельных компаний и страховщиков и не перешёл в системную премию за риск.

За чем следить

На ближайшие 3 месяца выделяются 3 индикатора. Первый — останется ли ежемесячное число периферийных продуктов в KEV выше сентябрьских 18. Второй — растянется ли снижение цен на киберстрахование в индексе Marsh за III квартал на 13-й квартал. Третий — доля финансового сектора в сообщениях KVKK, которые 30 сентября пополнились 9 утечками.

Разрыв между трёхдневным темпом патчей и страховыми ценами, падающими 12 кварталов, не может долго оставаться открытым. Когда он закроется, издержки сначала отразятся на премиях и франшизах, а затем на графиках патчей и уведомлений, которые установят регуляторы.