Эксплойт: чем отличается от уязвимости
Уязвимость — дефект в системе, эксплойт — программа, которая этим дефектом пользуется. Пока эксплойта нет, дыру часто откладывают «на потом»: кажется, что опасность теоретическая. Как только эксплойт становится общедоступным — закрывать нужно немедленно.
Ключевые понятия
- Уязвимость (vulnerability) — дефект системы: непроверенный ввод, устаревшая библиотека, ошибка в логике прав.
- CVE — идентификатор уязвимости в международной базе. Не «уровень опасности», а метка, по которой можно найти описание и патч.
- Эксплойт — работающая реализация, которая этим дефектом пользуется. Может быть скриптом в 20 строк, а может — сложным фреймворком.
- Payload — то, что происходит после успешного использования: шелл, дамп базы, шифрование, майнер.
- 0-day / n-day — уязвимость без патча / уже известная, но у жертвы не закрытая.
Жизненный цикл
- Обнаружение → ответственный disclosure → патч → публикация CVE → появление эксплойта в open-source → массовая эксплуатация.
- Разрыв между патчем и массовой эксплуатацией сократился: CISA KEV и отчёты вендоров фиксируют использование в дикой природе уже в первые дни, иногда — часы.
Реальные примеры, которые стоит знать
- EternalBlue (2017) — эксплойт к Windows SMB, утёкший из арсенала спецслужб. Лёг в основу WannaCry и NotPetya; ущерб оценивают в миллиарды долларов.
- Log4Shell (2021) — одна строка в логировании Java-приложения. Эксплойт появился почти сразу, патчи выкатывали неделями, а часть систем осталась незакрытой и после.
- ProxyLogon / ProxyShell (2021) — цепочки для Microsoft Exchange. Массовая установка веб-шеллов на почтовые серверы компаний по всему миру.
- MOVEit (2023) — группа Cl0p использовала уязвимость файлового обменника на следующий день после патча: данные сотен организаций попали в шантаж.
Во всех случаях бизнес страдал не от «самой уязвимости», а от того, что патч уже существовал, но не был применён.
Почему скорость важнее идеальной архитектуры
Архитектуру «без дыр» не построил никто. Работает другое: быстро узнавать о критичных CVE для своего стека и закрывать внешний периметр за часы–дни, а не за квартал. Автоматизация атак не разбирается, «интересны» вы или нет — она обходит всё, что отвечает в интернете.
- Inventory: что у вас вообще стоит снаружи и на какой версии
- Процесс «критичный CVE за 24–72 часа» с ответственным и эскалацией
- Автоматическое сканирование как обратная связь: не увидели — не закрыли
- Компенсирующие меры (WAF, изоляция) — только пока нет патча, а не вместо него
Нужна проверка именно вашего контура?
Запустите автоматическое сканирование или закажите ручной аудит с заключением — с приоритетами и планом устранения.