ТехволнаПатчи безопасности стали в 11 раз чаще требовать доработки
Компания Terra Security изучила публичные записи CVE и уведомления GitHub и обнаружила резкий рост неполных исправлений. Если с 2019 по 2025 год лишь около 0,2% патчей получали новое предупреждение в течение 90 дней, то в 2026-м этот показатель достиг 2,3%. Округлённые значения дают рост примерно в 11 раз, хотя сама Terra, используя иную методику, говорит об увеличении приблизительно в восемь раз.
В ядре Linux проблема проявляется несколько иначе. По данным на начало октября, 3,2% всех уязвимостей возникли в коде, который изначально был написан для закрытия другой бреши. В наиболее активно меняющихся подсистемах — fs/smb и net/sched — эта доля достигает примерно 10%.
То есть каждая десятая уязвимость в этих компонентах появилась именно из-за предыдущего исправления. Характерный пример — цепочка ошибок в работе Unix-сокетов. Изменение 2023 года нарушило учёт файловых дескрипторов при передаче специальных сообщений.
Первая попытка исправить дефект могла привести к зависанию ядра, а следующая правка оказалась неполной из-за неверного порядка элементов в списке. Каждому звену этой цепочки присвоили отдельный номер CVE, хотя все они выросли из одного механизма. Чаще всего обходят патчи, нацеленные на SSRF и загрязнение прототипов JavaScript.
Среди неудачных исправлений такие дефекты встречаются соответственно в 4,6 и 11 раз чаще, чем можно было бы ожидать исходя из их общей доли среди всех CVE. Основная причина — слишком узкие проверки входных данных. Разработчики запрещают конкретный опасный адрес, но забывают про альтернативные формы его записи.
В Roundcube мартовский патч блокировал адрес 127.0.0.1, однако пропускал варианты 127.1, 0x7f000001 и доменные имена, которые ведут на тот же локальный узел. В итоге потребовалось ещё три обновления, чтобы перекрыть все обходные пути. Похожая история случилась с PaperCut в августе: обход только что выпущенного патча обнаружили менее чем через сутки после публикации первого исправления.
Для уязвимостей, которые уже эксплуатируются злоумышленниками, вероятность последующего обхода патча оказалась примерно в четыре раза выше, чем для других дефектов тех же поставщиков. Иными словами, если брешь активно используют, шансы на то, что первое исправление окажется неполным, заметно возрастают. Искусственный интеллект ускоряет анализ исправлений.
В сентябре специалисты разобрали патч MikroTik с помощью ИИ всего за час. Однако совпадение двух тенденций — роста неудачных патчей и распространения ИИ-инструментов — пока не доказывает причинно-следственную связь. Terra Security советует разработчикам до выпуска патча проверять его на альтернативные способы эксплуатации, устранять корневую причину ошибки и искать побочные эффекты.
Администраторам же не стоит считать установку обновления полной гарантией безопасности. Как показал недавний взлом FirstVDS, даже пропатченные системы могут оставаться уязвимыми, если обновление не закрыло все лазейки Взлом FirstVDS: злоумышленники скопировали диски клиентов через уязвимость в VMmanager 6. Повторные тесты должны подтвердить, что перекрыты все пути обхода, а не только первоначальный сценарий атаки.
Особенно это важно после реальных инцидентов, когда цена неполного исправления особенно высока.
