Атаки через zero-day удвоились: защита отстает от атакующих

Эксперты компании «Информзащита» зафиксировали удвоение числа кибератак через уязвимости нулевого дня в первом полугодии 2026 года по сравнению с тем же периодом прошлого года. Рост составил 100%, тогда как общее количество утечек данных увеличилось лишь на 3,3%. Это означает, что злоумышленники все чаще используют «дыры» в программном обеспечении, о которых производители еще не знают и для которых нет готовых исправлений.

Ускорение эксплуатации неизвестных ошибок сужает временное окно для защиты: пока разработчик готовит патч, атакующий уже имеет работающий инструмент для взлома.

Почему защита отстает от атак

Уязвимость нулевого дня (zero-day) — это ошибка в коде, которую злоумышленник находит раньше разработчика. В этот момент у хакера есть временное преимущество: сигнатурные антивирусы не знают признаков атаки, а официального обновления еще не существует.

Ситуация усугубляется тем, что и защитники, и атакующие используют одни и те же технологии: машинное обучение и автоматизированное тестирование (фаззинг). Эти инструменты позволяют быстрее находить слабые места в коде. В результате промежуток между обнаружением уязвимости и началом массовых атак сокращается. У команд безопасности остается меньше времени на оценку рисков и внедрение временных мер защиты.

Риск сохраняется даже после выпуска официального исправления. Атакующие могут проанализировать обновленный код, понять логику ошибки и создать эксплойт для поиска систем, где патч еще не установлен. Корпоративный цикл обновлений часто занимает недели из-за необходимости тестирования и согласования, что оставляет инфраструктуру уязвимой.

Цели атак и масштаб последствий

Злоумышленники ориентируются на системы, доступные из интернета или обладающие широкими правами внутри сети. В первую очередь под удар попадают:

• VPN-шлюзы и межсетевые экраны.
• Почтовые серверы и гипервизоры.
• Системы резервного копирования и удаленного администрирования.

Прямая статистика по отраслям для zero-day атак отсутствует, но общая структура компрометаций показывает, где сосредоточены наиболее ценные данные:

• Финансовый сектор: 21,5% всех инцидентов.
• Здравоохранение: 15,6%.
• Профессиональные услуги: 14,9%.
• Промышленность: 10,5%.

Особую опасность представляет вектор атак через цепочки поставок. Взлом одного широко используемого компонента или сервиса поставщика может привести к компрометации сразу нескольких компаний. В первом полугодии 2026 года инциденты с поставщиками затрагивали в среднем более 5 организаций, а на такие события пришлось почти 60% всех уведомлений об утечках данных.

Эксплуатация уязвимости в одном компоненте поставщика создает эффект домино, позволяя злоумышленнику проникнуть в сети десятков зависимых компаний одновременно.

Практические шаги для снижения рисков

Для минимизации ущерба от атак через неизвестные уязвимости недостаточно полагаться только на антивирусы. Требуется комплексный подход к управлению активами и мониторингу.

• Актуальный реестр активов: Необходимо вести учет всех программных продуктов с указанием версий, владельцев и уровня критичности. Это позволяет быстро определить, какие системы нуждаются в срочном обновлении.
• Приоритизация обновлений: Сначала обновляются системы с внешней доступностью, административными правами и критической важностью для бизнеса.
• Временные меры защиты: Если исправление еще не выпущено, следует отключать уязвимые функции, ограничивать сетевой доступ и изолировать сервисы.
• Поведенческий мониторинг: Центр мониторинга должен отслеживать аномалии: запуск нестандартных процессов, создание новых учетных записей, доступ к хранилищам секретов и подозрительный исходящий трафик.
• Сегментация сети: Разделение сети на зоны и принцип минимальных привилегий ограничат возможности хакера перемещаться по инфраструктуре после первоначального проникновения.
• Работа с поставщиками: В договорах нужно прописывать сроки уведомления об инцидентах и требования к предоставлению полного состава программных компонентов (SBOM).

Отсутствие актуального реестра активов делает невозможным быстрое выявление уязвимых систем, превращая каждую новую угрозу в поиск иголки в стоге сена.

Операционные последствия и тренды

• Сокращение времени реакции: Автоматизация поиска уязвимостей со стороны атакующих требует от бизнеса перехода от реактивной защиты к проактивному мониторингу поведения систем в реальном времени.
• Рост сложности обновлений: Необходимость тестирования патчей в корпоративной среде создает неизбежное окно уязвимости, которое атакующие используют для поиска не обновленных систем.
• Зависимость от поставщиков: Компании несут риски, связанные с безопасностью сторонних решений, что требует пересмотра договоров и внедрения требований к прозрачности кода (SBOM).
• Недостаточность сигнатур: Традиционные средства защиты неэффективны против zero-day атак, что вынуждает внедрять решения на основе анализа аномалий и машинного обучения.