CrowdStrike проанализировала, как быстро атакующие переходят от публичного proof-of-concept к реальной эксплуатации. По данным за январь-июль 2026 года, медианное время от появления PoC до атаки составило менее суток, самый быстрый случай - 35 минут, а 91% уязвимостей с публичным PoC эксплуатировали в течение 48 часов. Для защиты это значит, что привычные недельные циклы патчей не успевают за атакующими.
По данным CrowdStrike, один из примеров - обход аутентификации в cPanel, раскрытый 28 апреля 2026 года. На следующий день сторонняя компания опубликовала разбор с подсказками по эксплуатации и «генератор артефактов для обнаружения», который после минимальной правки становился готовым эксплойтом: достаточно было раскомментировать строку, меняющую пароль root. Уже 30 апреля CrowdStrike наблюдала массовую эксплуатацию, а один из атакующих, по оценке компании, использовал уязвимость как zero-day с 3 апреля.
Другой случай - локальное повышение привилегий CopyFail в Linux. Публичный PoC появился 29 апреля, когда многие дистрибутивы ещё оставались уязвимы. Связанная с Беларусью группировка UMBRAL BISON модифицировала эксплойт, чтобы обойти средства обнаружения, и 30 апреля применила его в украинской госструктуре: от пользователя www-data до root, затем развернула агента MythicC2 Poseidon, который остановил сенсор Falcon.
Третий пример - обход аутентификации в Fortinet FortiOS и FortiProxy. В феврале CrowdStrike нашла открытый каталог связанной с Ираном группы STATIC KITTEN: 1,9 ГБ и более 20 тысяч файлов, среди которых лежала изменённая версия публичного PoC. Вместо одной команды она несла 13 жёстко заданных полезных нагрузок для создания бэкдор-пользователей и закрепления.
CrowdStrike связывает ускорение с ИИ: атакующие пытаются обходить ограничения передовых моделей, модифицируют открытые модели без предохранителей и используют публичные исследования, созданные с помощью ИИ. CopyFail, по данным компании, нашли при содействии ИИ, а массовую эксплуатацию wp2shell в июле 2026 года якобы обнаружили с помощью GPT5.6 Sol Ultra и токенов на 25 долларов.
Вывод компании: ориентироваться только на CVSS при приоритизации патчей неправильно. Важнее реальная эксплуатируемость, наличие публичного эксплойта и намерения атакующих, а окно на исправление фактически сжалось до нуля. По мере роста числа PoC и ИИ-помощи в исследовании уязвимостей тех, кто эксплуатирует их, станет больше, а конкуренция за уязвимые системы - жёстче.
