VulnCheck: в мае выявлено 103 активно эксплуатируемых уязвимости

В мае 2024 года компания VulnCheck зафиксировала 103 уязвимости (CVE), которые были впервые публично раскрыты как эксплуатируемые. По сравнению с апрелем это количество возросло на 90,7%, что соответствует общему росту числа эксплуатируемых уязвимостей. Тем временем, в отчёте Verizon за 2024 год говорится о 180% росте числа случаев эксплуатации уязвимостей с 2022 по 2023 год.

Из 103 уязвимостей с существующими доказательствами эксплуатации, выявленных в мае, 58 поставщиков программного обеспечения были связаны с 73 уникальными продуктами. Среди них лидируют Google Chrome (7 уязвимостей), Microsoft Windows (5), Apple Safari (5) и Adobe Acrobat Reader (3). Также выделяются Microsoft Exchange, Oracle JDK и phpMyAdmin с двумя уязвимостями каждая. Новичками в списке стали TP-Link TL-R600VPN и Arcserve Unified Data Protection.

Значительное увеличение раскрытия информации о новых эксплуатациях уязвимостей связано с несколькими факторами. Среди них — публикации отчётов Fortinet, CheckPoint и Aqua Security, которые предоставили данные о 49 уникальных уязвимостях. Это свидетельствует о готовности вендоров делиться более широкими сведениями об эксплуатациях, что является положительным трендом для команд по безопасности.

Сама компания VulnCheck также отмечает значительное снижение производительности таких мастодонтов в мире ИБ, как CISA и NIST. Так, в мае CISA добавила лишь 14 активно эксплуатируемых уязвимостей в свой список KEV, что составляет 13,6% от числа таких же уязвимостей, обнаруженных VulnCheck за этот период.

Тем временем, NIST добавила в свою базу NVD лишь 22 из 103 уязвимостей, зафиксированных VulnCheck. И даже из этих 22 уязвимостей, 10 всё ещё ожидали анализа на конец мая.

В сфере американской кибербезопасности, которая часто являлась мировым примером в организации и подсчёте уязвимостей, прямо на наших глазах сейчас происходит значительное смещение сил. Частные компании выходят на передний план, демонстрируя значительный отрыв от государственных органов в области обнаружения и информирования об эксплуатируемых уязвимостях.

Эти коммерческие игроки демонстрируют более высокую эффективность и готовность делиться актуальными данными, в то время как традиционные лидеры, такие как CISA и NIST, существенно отстают в своей способности отслеживать и своевременно сообщать об угрозах.

Этот сдвиг свидетельствует о растущей роли частного сектора в обеспечении кибербезопасности и необходимости тесного сотрудничества между коммерческими и государственными структурами для эффективного противостояния постоянно меняющимся киберугрозам.