Уязвимости устаревшего ПО и CMS

• После публикации CVE эксплойты появляются часами, а не месяцами. Ботнеты дёргают уязвимые точки входа по словарю версий.
• Пример класса: десятки тысяч взломов WordPress-сайтов через уязвимые плагины (формы, SEO, конструкторы страниц) — без обновления «победить» невозможно.

• Equifax (2017) — утечка персональных данных около 147 млн человек. Причина: непропатченная Apache Struts (CVE-2017-5638); патч был доступен почти два месяца до взлома. Ущерб — сотни миллионов долларов штрафов и урегулирования.
• WannaCry (2017) — шифровальщик распространялся через EternalBlue (MS17-010) по непропатченным Windows. Пострадали больницы, транспорт, предприятия; Microsoft даже выпустила экстренные патчи для поддерживаемых систем.
• Microsoft Exchange ProxyLogon (2021) — массовая эксплуатация непропатченных почтовых серверов: остатки Web-шеллов и кража писем у тысяч организаций по всему миру.
• MOVEit Transfer (2023) — группа Cl0p использовала уязвимость файлового обменника сразу после патча: пострадали сотни компаний и госструктур.

Общий урок во всех случаях один: не «невезение», а задержка с обновлением на внешнем периметре.

PHP и его расширения, OpenSSL, nginx/Apache, панели управления хостингом, зависимости npm/composer, шаблоны тем, «кастомные» форки CMS, плагины «на одну кнопку», которые никто не обновляет годами.

• Инвентаризация активов и версий: что вообще стоит в интернете и на какой версии
• Приоритизация по риску: внешний периметр и аутентификация — в первую очередь, внутренние системы — по расписанию
• Окна обновления и тест-стейдж: обновлять «вслепую» на проде тоже опасно, но опаснее не обновлять вовсе
• Автоматическое сканирование как feedback-цикл: «не увидел — не закрыл»
• Для легаси, которое нельзя обновить, — компенсирующие меры (WAF, изоляция, вынос из интернета), но это костыль, а не решение