Эксплуатация CVE до патча: MTTE минус 7 дней

Не семь дней после выхода advisory. Минус семь - эксплуатация в среднем стартует за неделю до того, как CVE получает публичный идентификатор. VulnCheck подтверждает с другой стороны: 28,96% уязвимостей из каталога Known Exploited Vulnerabilities в 2025 году эксплуатировались в день публикации или раньше, а к первой половине 2026-го цифра выросла до 32,1%. Для пентестера это конкретная проблема: клиент строит vulnerability management на ежемесячном патч-цикле и сортирует по CVSS - он структурно проигрывает атакующему. На пентесте мы это показываем в первый же день.

Что означает MTTE минус 7 дней для пентестера​

MTTE (Mean Time to Exploit) - интервал между публичным раскрытием уязвимости и первым подтверждённым фактом её эксплуатации в дикой природе. Когда значение отрицательное - атакующие используют баг ещё до появления записи в NVD. Подробнее - в нашем материале про защита от zero-day уязвимостей.

Механика простая: вендор обнаруживает эксплуатацию, потом регистрирует CVE и выпускает патч. Между первым фактом злоупотребления и публичной записью проходят дни или недели. Всё это время атакующий работает без сопротивления.

Три метрики описывают одну проблему, но с разных сторон - путать их нельзя:


Среднее publication-to-KEV в 1072 дня - артефакт старых CVE, которые эксплуатируются спустя годы после раскрытия. Медиана в 68-80 дней - вот на неё стоит ориентироваться при планировании патч-окон.

По данным Flashpoint, среднее TTE рухнуло с 745 дней в 2020 году до 44 дней в 2025-м. Mandiant фиксирует ещё жёстче: MTTE упал с 63 дней (2018-2019) до минус семи (2025). Методологии разные - Flashpoint считает от disclosure до первого confirmed exploit, Mandiant включает pre-disclosure exploitation - но оба тренда указывают в одну сторону: patch gap становится отрицательным.

48% из них приходились на корпоративные продукты - исторический максимум. Но рост общей эксплуатации обеспечивается не потоком новых zero-day, а быстрой weaponization-ой уже раскрытых уязвимостей - N-day.

Скорость эксплуатации CVE в цифрах:

• 32,1% KEV-уязвимостей эксплуатировались в день публикации CVE или раньше (VulnCheck, H1 2026)
• 88% эксплуатации приходится на первые 48 часов после появления публичного PoC (CrowdStrike 2026 Threat Hunting Report)
• 28,3% эксплуатируемых уязвимостей weaponized в течение 24 часов после disclosure (Indusface 2026, цитирует BranDefense)
• 131 CVE в день - средний поток новых записей в H1 2026, вдвое больше чем в 2023 (BranDefense, со ссылкой на NIST NVD)

На стороне защиты - всё медленнее. Между 60% и 70% KEV-уязвимостей остаются открытыми на 7-й день. CISA отреагировала: BOD 26-04 (10 июня 2026) установил трёхдневный дедлайн ремедиации для 91 из 114 новых KEV-записей - вместо прежних 21 дня по BOD 22-01.

CISA KEV к 1 октября 2026 содержит 1731 запись. С начала года добавлено 247 - больше, чем за весь 2025-й (245).

CVSS vs exploitability: приоритизация уязвимостей по скору - ловушка​

CVSS показывает теоретическую серьёзность, но ничего не говорит о реальной эксплуатации. Два примера, которые разносят CVSS-only подход.

Пример 1: низкий CVSS, высокий реальный риск. CVE-2026-33825 (BlueHammer - TOCTOU race condition в Microsoft Defender, CVSS 7.8, HIGH, CVSS v3.1, CWE-1220 - insufficient granularity of access control). EPSS: 0.004, перцентиль 32,5% - ниже медианы. И CVSS, и EPSS говорят "не приоритет". А CVE уже в CISA KEV с пометкой RANSOMWARE, SSVC-решение: Act (exploitation: active). Цепочка атаки - через oplocks, NTFS junctions и Cloud Files API атакующий перенаправляет чтение Defender с легитимного обновления на копию SAM-базы. Результат - NTLM-хэши и SYSTEM shell. Без повреждения памяти, без kernel exploit. Красиво, если честно.

Пример 2: критический CVSS, низкий реальный риск. CVE-2026-46624 (Twenty CRM, SQLi через COPY TO PROGRAM в PostgreSQL, CVSS 9.9, CRITICAL, CVSS v3.1, CWE-78 + CWE-89). EPSS: 0.007 - перцентиль 52%, чуть выше медианы. CISA SSVC: Track* (exploitation: poc, automatable: no). Несмотря на CVSS 9.9, угроза ограничена: нужна аутентификация, PostgreSQL-пользователь должен быть суперпользователем, автоматизация невозможна. На бумаге - катастрофа, в реальности - нишевый кейс.

Правильный подход для пентестера - тройная фильтрация:

1. CISA KEV / VulnCheck KEV - подтверждённая эксплуатация в дикой природе. Всё из KEV = реальная угроза
2. EPSS >= 90-го перцентиля - вероятностный сигнал. EPSS выше 0.1 при перцентиле > 96% = красный флаг
3. CVSS - последний фильтр для ранжирования внутри приоритетной группы, не первый

Кейсы 2026: эксплуатация CVE до патча на периметре​

Периметровые устройства стабильно лидируют в списке того, что ломают. По данным VulnCheck (State of Exploitation 2026), сетевые edge-устройства - категория №1. Verizon DBIR фиксирует: эксплуатация VPN и edge-устройств выросла примерно в 8 раз - до 22% всех случаев initial access в 2025 году.

Логика атакующего прозрачна: edge-устройства по определению торчат в интернет, часто без дополнительной аутентификации, а патчить их сложнее, чем десктопное ПО - нужны maintenance-окна и плановый простой. Идеальная мишень.

CVE-2026-3055 - Citrix NetScaler memory overread​

CVE-2026-3055 (Citrix NetScaler ADC/Gateway в роли SAML IDP, CVSS 9.3, CRITICAL, CVSS v4.0, CWE-125 - out-of-bounds read, automatable). Это единственная CVE в статье с вектором CVSS v4.0 - при сравнении severity с другими уязвимостями учитывайте: шкала v4.0 имеет иную гранулярность, чем v3.1.

Суть - недостаточная валидация входных данных, приводящая к чтению за пределами буфера. CISA добавила её в KEV 30 марта 2026 с дедлайном 2 апреля - 3 дня. SSVC-решение: Act (exploitation: active, automatable: yes, technical impact: total). EPSS: 0.0404, перцентиль 90,5% - top 10%.

Affected: Citrix NetScaler ADC, NetScaler Gateway, NetScaler ADC FIPS и NDcPP.

По данным Greenbone (март 2026), активная разведка эндпоинта /cgi/GetAuthMethods началась через 3 дня после disclosure. Три дня - и пошли сканы.

Неофициальный community PoC на GitHub (1, единственный контрибьютор): fevar54/CVE-2026-3055---Citrix-NetScaler-Memory-Overread-PoC - заявлена демонстрация утечки session ID через memory overread; верификация ограничена. Nuclei-шаблон для массового сканирования доступен в основном репозитории ProjectDiscovery: http/cves/2026/CVE-2026-3055.yaml.

CVE-2026-76461 - Cisco Secure Email Gateway root RCE​

CVE-2026-76461 (Cisco AsyncOS для Secure Email Gateway, CVSS 9.8, CRITICAL, CVSS v3.1, CWE-89 - SQL injection). Недостаточная валидация в логике парсинга email позволяет неаутентифицированному удалённому атакующему выполнять произвольные команды с root-привилегиями через crafted email.

CISA KEV: 14 сентября 2026, дедлайн 17 сентября - 3 дня. SSVC: Act (exploitation: active, automatable: yes, technical impact: total). EPSS: 0.2954, перцентиль 98,2% - top 5%.

Affected: Cisco AsyncOS (несколько версий), Cisco SEG Virtual Appliance C100v и C300v.

Атакующему достаточно отправить crafted email - никакой аутентификации, никакого взаимодействия с пользователем. Почтовый security-гейтвей стоит на периметре и обрабатывает каждое входящее письмо. Root shell на устройстве, которое видит весь почтовый трафик - идеальная позиция для lateral movement или перехвата данных. Тот случай, когда "security appliance" становится начальной точкой компрометации.

Практический workflow: от CVE к оценке экспозиции за 15 минут​

Шаг 2: проверка экспозиции через Nuclei. После отбора CVE - сканирование targets клиента. Nuclei-шаблоны для свежих CVE появляются в основном репозитории ProjectDiscovery в течение дней после disclosure.
Для CVE без шаблона - Shodan или Censys дадут оценку экспозиции по CPE или баннерам.

Шаг 3: проверка SSVC-решения. CISA Vulnrichment (публичный репозиторий на GitHub: cisagov/vulnrichment) содержит SSVC-решения для свежих CVE. Три категории: Act (патчить немедленно), Track (PoC есть, готовить патч), Track (мониторить). Разница между CVE-2026-3055 (Act: exploitation active, automatable yes) и CVE-2026-46624 (Track: exploitation poc, automatable no) - не в CVSS (обе выше 9.0), а в факте активной эксплуатации и автоматизируемости. Именно это определяет приоритет.

N-day exploit vs zero-day: скорость эксплуатации уязвимостей решает​

По данным Flashpoint, N-day уязвимости составляют более 80% всех Known Exploited Vulnerabilities за последние четыре года. Zero-day получают заголовки - N-day обеспечивают масштаб.

Экономика атакующего прозрачна. Зачем вкладываться в zero-day research, если PoC для N-day появляется в открытом доступе, а 28,3% раскрытых уязвимостей weaponized за первые сутки? Показательный пример - утечка внутренних чатов группировки BlackBasta, описанная Flashpoint: из 65 обсуждавшихся CVE 54 уже были в KEV. Группа не разрабатывала zero-day - мониторила disclosure и weaponize-ила N-day быстрее жертв. Зачем копать колодец, когда вода уже льётся из крана?

CrowdStrike 2026 Threat Hunting Report: 88% эксплуатации CVE с публичным PoC происходит в первые 48 часов. Публикация PoC на GitHub - стартовый выстрел. Если PoC-репозиторий появился для CVE из вашего скоупа, а патч не установлен - окно уже закрыто.

По MITRE ATT&CK это Resource Development: получение эксплойтов (T1588.005) или их разработка (T1587.004). Атакующий не пишет exploit с нуля - берёт публичный PoC и адаптирует под свою инфраструктуру доставки.

Для пентестера takeaway конкретный: на пентесте периметра первым делом проверяю KEV по стеку клиента. Если CVE-2026-20963 (SharePoint, CVSS 9.8, CRITICAL, CWE-502 - deserialization of untrusted data, EPSS 0.292, перцентиль 98,2%) есть в скоупе и не пропатчена - это не теоретический риск, это подтверждённый вектор initial access с CISA KEV дедлайном в 3 дня.

Компенсирующие меры в patch gap уязвимости​

Когда MTTE отрицательный, а медиана ремедиации - 43 дня, между ними лежит зона, где патчинг бесполезен. Что делать в этом окне?

Виртуальный патчинг. Для CVE с известным вектором - WAF или IPS-правило блокирует эксплуатацию до патча. Для CVE-2026-3055 это фильтрация запросов к /cgi/GetAuthMethods с аномальными SAML-параметрами. Виртуальный патч не устраняет уязвимость, но сужает attack surface в критическом окне.

Сокращение internet-facing поверхности. SAML IDP-функциональность NetScaler не используется - отключить. Административный интерфейс Ivanti Sentry (CVE-2026-10523, CVSS 9.9, CRITICAL, CVSS v3.1, CWE-288 - authentication bypass, affected: Ivanti Standalone Sentry до версий R10.5.2, R10.6.2 и R10.7.1; SSVC: Track, exploitation: none - активная эксплуатация не зафиксирована, в отличие от CVE-2026-3055 и CVE-2026-76461) не должен смотреть в интернет. Звучит очевидно, но на каждом втором пентесте нахожу админки, торчащие наружу.

Мониторинг IoC до сигнатур. Для CVE в KEV индикаторы компрометации часто публикуются раньше, чем обновлённые сигнатуры вендоров. CISA alerts, vendor advisories, Sigma-правила от сообщества - источники раннего сигнала. На практике для клиента с NetScaler на периметре после disclosure CVE-2026-3055 первое действие - grep логов на запросы к /cgi/GetAuthMethods с нетипичными параметрами.

CERT-In как бенчмарк SLA. CERT-In в 2026 году установил мандат: KEV на internet-facing системах - патч в течение 12 часов при возможности, 1 день для критических externally exposed уязвимостей, 5 дней для high-severity. Эта tiered модель - ориентир для любой организации, которая хочет соответствовать реальной скорости эксплуатации, а не историческим patch-циклам.

Последние два года я наблюдаю одну и ту же картину: клиенты приходят на пентест с ощущением, что их vulnerability management работает. Сканер крутится, CVSS-тикеты заведены, ежемесячный патч-цикл выдерживается. Потом мы показываем CVE из KEV на их периметре с PoC из публичного GitHub-репозитория - и выясняется, что "ежемесячный цикл" для CRITICAL edge-устройства означает 30 дней экспозиции при среднем MTTE минус 7.

Неудобная правда: CVSS-based приоритизация мертва как единственный критерий. Не потому что CVSS плохой стандарт - он решает другую задачу. Он оценивает потенциальную серьёзность, а не вероятность и факт эксплуатации. Связка EPSS + KEV + SSVC объективно точнее, но процессы большинства организаций - и инструменты - до сих пор построены вокруг "всё что CVSS >= 9.0 - первый приоритет". Результат: CVE-2026-33825 с CVSS 7.8 и EPSS 0.004 уже используется в ransomware, а тикет на неё висит в бэклоге третью неделю.

На HackerLab (https://hackerlab.pro) есть сценарии, где собирается похожая цепочка exploitation на edge-устройствах - формула на бумаге понятна, но patch gap по-настоящему ощущается только когда сам прогоняешь эксплуатацию и видишь, что защита не успела среагировать.