Wprowadzenie do problemu / definicja
Tempo usuwania podatności od lat pozostaje jednym z najważniejszych wskaźników dojrzałości cyberbezpieczeństwa. Najnowsze ustalenia pokazują jednak, że nawet luki powiązane z realną eksploatacją w środowisku produkcyjnym są usuwane z istotnym opóźnieniem. To szczególnie niepokojące, ponieważ chodzi o podatności, dla których ryzyko nie jest teoretyczne, lecz potwierdzone aktywnością atakujących.
W skrócie
Medianowy czas usunięcia znanych, aktywnie wykorzystywanych podatności wynosi 87 dni. Oznacza to, że połowa takich luk pozostaje niezałatana przez około trzy miesiące od momentu ich ujawnienia lub identyfikacji. Dla podatności bez potwierdzonych oznak eksploatacji czas ten jest jeszcze dłuższy i sięga 107 dni.
Równolegle rośnie liczba zgłoszeń bezpieczeństwa, a organizacje muszą radzić sobie z coraz większą presją operacyjną. Szybsze wykrywanie nowych błędów i większy wolumen aktualizacji utrudniają skuteczne zarządzanie priorytetami oraz terminowe wdrażanie poprawek.
Kontekst / historia
Zjawisko opóźnionego łatania nie jest nowe, ale dziś ma znacznie większe znaczenie niż jeszcze kilka lat temu. W ostatnim okresie wykorzystanie podatności jako wektora początkowego dostępu do środowisk ofiar wyraźnie wzrosło. Atakujący konsekwentnie sięgają zarówno po nowe błędy typu zero-day, jak i po starsze luki, które nadal pozostają dostępne w niezałatanych systemach.
Organizacje działają obecnie w dwóch równoległych cyklach ryzyka. Z jednej strony czas do pierwszej eksploatacji skraca się, a część luk jest uzbrajana niemal natychmiast po ujawnieniu. Z drugiej strony procesy testowania zmian, zależności operacyjne, wymogi zgodności i ograniczenia zasobowe sprawiają, że wdrożenie poprawek nadal trwa tygodnie lub miesiące.
Na problem nakłada się również wzrost liczby publikowanych biuletynów i aktualizacji bezpieczeństwa. Im większy wolumen podatności, tym trudniej odróżnić problemy krytyczne od tych, które można obsłużyć w standardowym cyklu utrzymaniowym. W efekcie wiele zespołów bezpieczeństwa funkcjonuje w stanie permanentnego backlogu.
Analiza techniczna
Z technicznego punktu widzenia medianowy czas łatania na poziomie 87 dni dla podatności już eksploatowanych wskazuje na strukturalny problem w procesie remediacji, a nie jedynie na pojedyncze opóźnienia. Nawet przy dostępności wiedzy o aktywnym wykorzystaniu luki wiele organizacji nie reaguje w tempie odpowiadającym realnemu zagrożeniu.
Najczęstsze przyczyny tego stanu to:
- zależności między systemami produkcyjnymi i obawy o ciągłość działania po wdrożeniu aktualizacji,
- ograniczona widoczność zasobów oraz brak pełnego inwentarza oprogramowania,
- rozproszone środowiska hybrydowe i wielochmurowe,
- ręczne procesy klasyfikacji i priorytetyzacji podatności,
- brak powiązania danych o CVE z telemetrią potwierdzającą realną eksploatację,
- konieczność wieloetapowych testów zmian w systemach krytycznych.
W praktyce sam wskaźnik CVSS często nie wystarcza do ustalenia właściwej kolejności działań. Podatność o umiarkowanej ocenie może generować wyższe ryzyko niż luka z wyższym wynikiem, jeśli istnieją publiczne exploity, trwa aktywna kampania ataków lub błąd został już powiązany z incydentami. Dlatego organizacje coraz częściej przechodzą z modelu opartego wyłącznie na surowości błędu do podejścia uwzględniającego eksploatowalność i ekspozycję biznesową.
Istotny jest również wpływ automatyzacji i narzędzi opartych na sztucznej inteligencji na rynek podatności. Przyspieszenie procesu znajdowania błędów zwiększa liczbę zgłoszeń trafiających do producentów i zespołów bezpieczeństwa. Dla obrońców to korzyść, ale jednocześnie oznacza większą presję na triage, więcej decyzji operacyjnych i większe ryzyko, że część istotnych poprawek zostanie odłożona.
Konsekwencje / ryzyko
Tak długi czas utrzymywania podatności możliwych do wykorzystania znacząco poszerza okno ataku. Dla zespołów ofensywnych oznacza to komfort działania: nawet po publicznym ujawnieniu luki i opublikowaniu poprawki wiele organizacji nadal pozostaje podatnych na atak.
Najważniejsze ryzyka obejmują:
- uzyskanie wstępnego dostępu do infrastruktury przez exploity na systemy brzegowe,
- eskalację uprawnień i ruch boczny po przełamaniu pojedynczego hosta,
- wdrożenie ransomware po wykorzystaniu znanej podatności,
- kompromitację aplikacji internetowych, urządzeń sieciowych i systemów zdalnego dostępu,
- zwiększenie skuteczności kampanii masowych wykorzystujących podatności o szerokim zasięgu.
Z perspektywy biznesowej przekłada się to na większe prawdopodobieństwo incydentu, dłuższy czas ekspozycji, wyższy koszt reagowania oraz większą presję audytową i regulacyjną. Szczególnie zagrożone są organizacje utrzymujące starsze systemy, środowiska OT, urządzenia edge oraz rozwiązania wymagające okien serwisowych lub wsparcia dostawcy przy aktualizacji.
Rekomendacje
Organizacje powinny traktować podatności z potwierdzoną eksploatacją jako odrębną klasę ryzyka, wymagającą szybszych i bardziej zdecydowanych działań niż standardowe zarządzanie poprawkami.
Kluczowe rekomendacje operacyjne:
- wdrożyć priorytetyzację opartą na dowodach eksploatacji, a nie wyłącznie na CVSS,
- zintegrować skanowanie podatności z danymi threat intelligence i listami aktywnie wykorzystywanych CVE,
- zdefiniować krótsze SLA dla podatności eksploatowanych w praktyce,
- utrzymywać aktualny inwentarz zasobów, usług dostępnych z internetu i zależności aplikacyjnych,
- automatyzować wdrażanie poprawek tam, gdzie ryzyko operacyjne jest akceptowalne,
- stosować zabezpieczenia kompensacyjne, jeśli natychmiastowe łatanie nie jest możliwe.
Do skutecznych zabezpieczeń kompensacyjnych można zaliczyć:
- ograniczenie ekspozycji usług do internetu,
- segmentację sieci i kontrolę ruchu między strefami,
- twarde reguły WAF i IPS dla znanych wektorów ataku,
- wyłączenie podatnych funkcji lub interfejsów administracyjnych,
- monitoring IOC i anomalii związanych z próbami wykorzystania konkretnego CVE,
- egzekwowanie MFA oraz minimalnych uprawnień na systemach krytycznych.
Warto również mierzyć efektywność procesu za pomocą wskaźników takich jak median time to remediate, odsetek podatności przeterminowanych względem SLA, pokrycie zasobów skanowaniem oraz czas wdrożenia zabezpieczeń tymczasowych. Bez takich metryk trudno ocenić, czy organizacja rzeczywiście skraca okno narażenia.
Podsumowanie
Dane wskazujące, że eksploatowane podatności są łatane średnio dopiero po 87 dniach, potwierdzają, że największym wyzwaniem nie jest już wyłącznie identyfikacja luk, lecz tempo ich usuwania. W warunkach rosnącej liczby zgłoszeń i coraz szybszej aktywności atakujących opóźnione łatanie staje się jednym z głównych czynników ryzyka cybernetycznego. Skuteczna obrona wymaga więc nie tylko skanowania i raportowania, ale przede wszystkim agresywnej priorytetyzacji, automatyzacji i skracania czasu od wykrycia do remediacji.
Źródła
- https://www.infosecurity-magazine.com/news/exploited-vulnerabilities-three/
- https://www.infosecurity-magazine.com/news/dbir-vulnerability-exploits-triple/
- https://www.infosecurity-magazine.com/news/third-kev-exploited/
- https://www.infosecurity-magazine.com/news/exploitation-accelerates-in-2025/
- https://www.infosecurity-magazine.com/news/cves-exploited-wild-2024/