CISA: одни и те же уязвимости десятилетиями открывают хакерам путь в корпоративные сети
Агентство по кибербезопасности и защите инфраструктуры США (CISA) опубликовало обзор уязвимостей за 2024–2025 финансовые годы, из которого следует, что киберпреступники продолжают успешно взламывать организации с помощью давно известных и хорошо документированных ошибок в программном обеспечении, а не сложных новых эксплойтов.
Старые проблемы никуда не исчезли
По данным CISA, среди наиболее распространённых типов уязвимостей как в реестре CVE, так и в каталоге известных эксплуатируемых уязвимостей (KEV) за 2024–2025 годы оказались инъекционные атаки — межсайтовый скриптинг (XSS, CWE-79), командные инъекции ОС (CWE-78) и SQL-инъекции (CWE-89), а также некорректная проверка входных данных (CWE-20), которая стала самым распространённым типом слабости во всём каталоге KEV и зарегистрированных CVE.
Проверки CISA за 2024 год показали, что уязвимости, связанные с безопасностью памяти и некорректной проверкой входных данных, являются наиболее надёжными путями для эксплуатации, составив 16,7% всех записей KEV в 2025 году. Эти данные получены в рамках Risk and Vulnerability Assessments (RVA) — бесплатных пентестов, которые агентство проводит для реальных организаций, чтобы улучшить их защиту и получить более полное представление о киберландшафте США.
«Непростительные» ошибки спустя почти 20 лет
В отчёте CISA ссылается на два известных документа MITRE — исследование 2007 года о «непростительных уязвимостях» и работу 2023 года о «упорных слабостях», которые до сих пор регулярно упоминаются в отраслевых обсуждениях. Тогда к числу таких дефектов относили некорректную проверку входных данных (CWE-20), обход пути (path traversal, CWE-22) и командные инъекции ОС (CWE-78).
Согласно новому обзору, ситуация изменилась незначительно: семь из десяти самых опасных типов слабостей (CWE) в 2025 году всё ещё относятся к тем, что были признаны «непростительными» ещё в 2007 году, а три из сегодняшних топ-10 CWE тогда, почти два десятилетия назад, тоже считались бы непростительными.
В самом агентстве отмечают, что дело не в технической сложности проблем. По словам CISA, «их живучесть сегодня показывает, что проблема не в технической сложности: она в организационной культуре, рабочих процессах разработчиков и системных пробелах во внедрении принципов Secure by Design». Напомним, что к категории «непростительных» MITRE относит уязвимости, возникающие из-за распространённых, хорошо документированных ошибок, с очевидным и простым для эксплуатации путём атаки, который злоумышленник способен обнаружить за считанные минуты.
Почему это до сих пор работает
В CISA прямо указывают на корень проблемы: «Злоумышленники продолжают добиваться успеха, в том числе, потому что простые, предотвратимые слабости в программном обеспечении остаются неустранёнными. Решение фундаментальных проблем устранило бы значительную часть современных распространённых компрометаций», — говорится в обзоре агентства.
При этом эксперты отмечают, что инъекционные уязвимости часто регистрируются как CVE, но реже реально применяются против зрелых с точки зрения кибербезопасности организаций. Инъекционные уязвимости также часто встречаются среди зарегистрированных CVE, хотя на практике они реже эксплуатируются в реальных атаках, особенно против организаций с развитой киберзащитой.
Рекомендации CISA
Чтобы переломить ситуацию, агентство вновь настаивает на массовом переходе индустрии к принципам Secure by Design — то есть встраивании защиты на этапе разработки продукта, а не устранении дефектов постфактум. CISA снова рекомендует организациям внедрять практики Secure by Design, устраняя упорные классы уязвимостей, которые продолжают поддерживать киберataки спустя десятилетия после того, как их признали серьёзной угрозой. В агентстве подчёркивают, что ответственность за снижение риска лежит не только на защитниках, но и на самих производителях софта, которым стоит выпускать более безопасные продукты, а не только более объёмные пакеты патчей.