Рост уязвимостей опережает скорость установки патчей

Атаки 24. Cairn. Один китаеязычный хакер за несколько недель взломал больше 100 компаний, включая Deere, SharkNinja и Cummins. Инструкция агентам заняла меньше 100 иероглифов, взлом обходился примерно в 50 долларов. 25. SafePay. FBI, CISA, Секретная служба США, полиция Рейнланд-Пфальца и британцы совместно предупредили о группировке минимум с 600 жертвами. 26. Tor. С 2 октября 333 скомпрометированных выходных узла, около десятой части всех, перенаправляли SSH-соединения на перехватывающие серверы и крали пароли. К 5 октября их заблокировали. 27. Lazarus. Kaspersky описал шпионскую кампанию FlashHole, которая с июля 2025 года атакует южнокорейские компании. Что из этого правда новое Двое суток из заголовка надо понимать правильно. Всплеск произошёл в первую очередь в раскрытиях, а многие атаки начались за недели и месяцы до этого. 600 жертв SafePay это накопительный итог с августа 2024 года, PHP2Shell пока навредил в основном тем, что сайты отключались сами, а значительная часть гуляющего по сети ИИ-кода для атак, по данным 404 Media, просто не работает. Но если отойти от этой недели, рост виден в цифрах. Число опубликованных CVE по месяцам: январь 2026 года 4311, июнь 7677, июль 9770, август 12 258, сентябрь 14 933. С июня по сентябрь это примерно плюс 25% в месяц, удвоение каждые три месяца. Если темп сохранится, октябрь даст 18–19 тысяч. Это грубая экстраполяция. Microsoft: до июня в среднем около 100 бюллетеней в месяц в Patch Tuesday, в сентябре 975, в октябре 1415. WordPress: около десяти лет программа на HackerOne получала 20–30 отчётов в месяц, в августе 2026 года их было 773, а к началу октября набралось 2004 за 90 дней. Эксплуатация растёт медленнее находок. Google насчитал 141 эксплуатируемую уязвимость за первые восемь месяцев 2026 года против 127 за весь 2025-й, то есть 18 в месяц вместо 10,5. Число эксплуатируемых нулевых дней до середины года держалось в районе 8–12 в месяц, а в августе подскочило до 22. При этом в атаках замечено всего 0,23% уязвимостей, раскрытых в 2026 году. Зато сжимается окно между раскрытием и атакой. Rapid7 в третьем квартале фиксировал в среднем три дня от раскрытия серьёзной уязвимости до её эксплуатации. Cloudflare видел тысячи попыток эксплуатации PHP2Shell за десять часов до объявления и миллионы после. Получается такая картина. Находки уязвимостей растут экспоненциально, примерно на четверть в месяц. Атаки растут, но в разы медленнее. А скорость установки патчей не растёт вообще. ИИ ускорил поиск дыр и написание исправлений, но никак не ускорил то, как больница, школьный округ или маленький интернет-магазин эти исправления ставят. Вот в этом зазоре и живут атакующие. Поэтому Black October скорее не пик, а первая заметная точка на кривой. Джейсон Клинтон из Anthropic 22 октября написал, что дальше будет хуже и продержаться нужно около 18 месяцев, пока поиск уязвимостей не встроится в обычную разработку. Если CVE продолжат удваиваться раз в квартал, таких недель за эти полтора года будет ещё несколько.