Команды ARKTIS и GSOC компании «Газинформсервис» подготовили совместный ежеквартальный отчёт по ландшафту угроз за III квартал 2026 года. Исследование фиксирует рекордный рост числа публикуемых уязвимостей, предельно сжатые сроки выхода эксплоитов и смещение фокуса злоумышленников на периметровые продукты и AI/ML-инфраструктуру.
Взрывной рост числа уязвимостей и скорости их эксплуатации. За квартал в базе NVD опубликовано 36 971 CVE (на 79% больше, чем во II квартале). При этом публичные эксплоиты (PoC) получили 546 новых уязвимостей. Пугающая тенденция: у 32% новых CVE с известной датой PoC эксплоит появляется в день публикации уязвимости или даже раньше. У защитников практически не остаётся времени на реакцию.
CVSS больше не предсказывает реальные атаки. Из 192 критических уязвимостей (CVSS ≥ 9,0) в каталог эксплуатируемых KEV (справочник уязвимостейагентства по кибербезопасности и защите инфраструктуры США – прим. ред.) попали лишь 17%. При этом 14 из 46 уязвимостей в KEV вообще не считаются критичными по шкале CVSS. Риск нужно оценивать в комплексе: наличие PoC, применимость в инфраструктуре и факты эксплуатации.
AI/ML-инфраструктура как новая поверхность атаки. В выборке из пяти популярных AI/ML-продуктов (LangFlow, n8n, Open WebUI, LiteLLM, Ollama) выявлено 204 уязвимости. 56% из них имеют высокую или критическую оценку. Уязвимости шлюзов (например, LiteLLM) могут привести к утечке ключей провайдеров, а ошибки оркестраторов (n8n) — дать доступ к внутренним сервисам.
Старые уязвимости остаются главной целью на периметре. Девять из 16 позиций в топах атак на периметр заказчиков — это CVE 2021 года и старше (например, Apache HTTP Server и Adobe ColdFusion). Злоумышленники продолжают массово эксплуатировать давно известные дыры.
Резкий рост активности ханипотов (приманок для киберпреступников – прим. ред.). На ханипоты ARKTIS зафиксировано 17,9 млн атак (рост на 540% по сравнению со II кварталом). Россия поднялась с шестого на третье место по числу атак (2 млн атак, 11%), уступая Болгарии и США. Основной сценарий на ханипотах — автоматизированный: разведка системы, скрытие следов и подмена SSH-ключей.
GhostLock и SharePoint
В отчёте подробно разобраны две резонансные уязвимости квартала. Первая — GhostLock (CVE-2026-43499) в ядре Linux, которая просуществовала в коде с 2011 года. Ошибка в подсистеме блокировок (futex) позволяет получить права root и выбраться из контейнера без привилегий всего за 5 секунд.
Вторая угроза — цепочка уязвимостей в Microsoft SharePoint. Злоумышленники комбинируют обход аутентификации (CVE-2026-55040, позволяющий подделать JWT-токен) с уязвимостью удалённого выполнения кода (CVE-2026-63520). Вместе они позволяют провести атаку на сервер SharePoint без каких-либо учётных данных, просто зная идентификатор жертвы (SID/UPN).
TrueConf
Отдельного внимания заслуживает тренд атак через цепочки поставок. В отчёте упоминается критическая уязвимость в TrueConf Server (CVE-2026-72530), эксплуатацию которой связывают с группировкой Head Mare. Скомпрометированный сервер может рассылать вредоносное ПО сотрудникам внешних организаций, создавая риск заражения через доверенные каналы связи.
«Скорость появления публичных эксплоитов и их интеграция в автоматизированные инструменты (ботнеты, инструменты на базе ИИ) диктуют новые правила игры. Мы видим, что рейтинг CVSS перестал быть единственным ориентиром: сегодня важно отслеживать не только критичность, но и наличие PoC, и упоминания в KEV. В следующем квартале мы ожидаем дальнейшего роста числа уязвимостей и усложнения атак на AI/ML-инфраструктуру», — отмечает Александр Михайлов, руководитель GSOC компании «Газинформсервис».
Эксперты «Газинформсервиса» рекомендуют компаниям в первую очередь проверить версии продуктов на периметре (Apache, ColdFusion, Grafana, Confluence и SharePoint) и оперативно установить обновления. Особое внимание следует уделить сегментации AI/ML-компонентов, настройке исходящих соединений (Egress allowlist) и строгому контролю прав доступа для агентов и инструментов.
