Отчёт «Газинформсервиса»: число атак на ханипоты выросло на 540%

Команды ARKTIS и GSOC компании «Газинформсервис» представили отчёт о ландшафте киберугроз за III квартал 2026 года. Исследование показывает резкий рост числа публикуемых уязвимостей, сокращение времени между раскрытием проблемы и появлением публичного эксплойта, а также усиление атак на периметровые системы и AI/ML-инфраструктуру.

Уязвимости публикуют быстрее, чем компании успевают реагировать

В базе NVD за квартал появились сведения о 36 971 уязвимости — на 79% больше, чем во II квартале. Для 546 новых CVE стали доступны публичные эксплойты или PoC. В 32% случаев, где известна дата публикации PoC, инструмент эксплуатации появился в тот же день, что и описание уязвимости, либо раньше. Это оставляет защитникам минимальный запас времени для анализа и установки обновлений.

Авторы отчёта отмечают, что одной оценки CVSS теперь недостаточно для определения приоритетов. В каталог эксплуатируемых уязвимостей KEV попали только 17% из 192 проблем с рейтингом CVSS 9,0 и выше. Одновременно 14 из 46 уязвимостей, добавленных в KEV, не относятся к критическим по шкале CVSS. При оценке риска исследователи рекомендуют учитывать сразу несколько факторов: наличие PoC, применимость к конкретной инфраструктуре и подтверждённые случаи эксплуатации.

AI/ML становится самостоятельной поверхностью атаки

В пяти популярных продуктах для AI и машинного обучения — LangFlow, n8n, Open WebUI, LiteLLM и Ollama — исследователи выявили 204 уязвимости. 56% из них получили высокую или критическую оценку. Проблемы в шлюзах, включая LiteLLM, могут привести к раскрытию ключей поставщиков, а уязвимости оркестраторов вроде n8n — открыть злоумышленникам доступ к внутренним сервисам.

На периметре по-прежнему активно используют старые ошибки. Девять из 16 позиций в рейтингах атак на инфраструктуру заказчиков относятся к CVE 2021 года и более ранним уязвимостям. Среди примеров — проблемы в Apache HTTP Server и Adobe ColdFusion. Это показывает, что отсутствие актуальных обновлений остаётся одним из наиболее практичных способов проникновения в инфраструктуру.

Атаки на ханипоты и ключевые инциденты квартала

На ханипотах ARKTIS зафиксировали 17,9 млн атак — на 540% больше, чем во II квартале. Россия поднялась с шестого на третье место по числу атак: на её долю пришлось около 2 млн инцидентов, или 11% от общего объёма. Выше в рейтинге оказались Болгария и США.

Основные сценарии были автоматизированными. Злоумышленники проводили разведку систем, пытались скрыть следы и подменяли SSH-ключи. Такая активность указывает на широкое использование автоматизированных средств, которые позволяют быстро проверять большое количество потенциально уязвимых узлов.

Одной из подробно разобранных угроз стала GhostLock — уязвимость CVE-2026-43499 в ядре Linux. Ошибка в подсистеме блокировок futex находилась в коде с 2011 года. При определённых условиях она позволяет получить права root и выйти за пределы контейнера без предварительных привилегий; по данным отчёта, эксплуатация занимает около пяти секунд.

Вторая крупная проблема связана с Microsoft SharePoint. Атакующие могут объединить обход аутентификации CVE-2026-55040, позволяющий подделать JWT-токен, с уязвимостью удалённого выполнения кода CVE-2026-63520. Такая цепочка даёт возможность атаковать сервер SharePoint без учётных данных, если злоумышленнику известен идентификатор жертвы — SID или UPN.

Риски цепочек поставок и рекомендации

Отдельное место в отчёте занимают атаки через доверенные каналы. Эксплуатацию критической уязвимости CVE-2026-72530 в TrueConf Server связывают с группировкой Head Mare. В случае компрометации сервера злоумышленники могут использовать его для рассылки вредоносного ПО сотрудникам внешних организаций, создавая риск заражения через цепочку поставок.

Руководитель GSOC «Газинформсервиса» Александр Михайлов считает, что ускорение появления публичных эксплойтов и их интеграция в ботнеты и инструменты на базе ИИ меняют подход к защите. По его словам, организациям необходимо отслеживать не только CVSS, но и наличие PoC, а также появление уязвимостей в KEV. В следующем квартале эксперты ожидают дальнейшего роста числа уязвимостей и усложнения атак на AI/ML-системы.

В первую очередь компаниям рекомендуют проверить версии продуктов, доступных из интернета, включая Apache, ColdFusion, Grafana, Confluence и SharePoint, и установить актуальные обновления. AI/ML-компоненты следует изолировать, ограничить их исходящие соединения с помощью Egress allowlist и строго контролировать права доступа для агентов и подключённых инструментов.