Эксплуатация in the wild («в дикой природе») означает, что уязвимость используют реальные злоумышленники против реальных жертв, а не только в лаборатории, демонстрации или proof of concept.
Что означает «in the wild»
В бюллетенях безопасности статус уязвимости описывают поэтапно. О проблеме может знать только вендор; её детали могут быть опубликованы; для неё может существовать публичный proof of concept; наконец, самый серьёзный случай — она эксплуатируется in the wild (ITW). Вендоры используют осторожные формулировки вроде «Microsoft is aware of exploitation» или «Google is aware that an exploit exists in the wild». Если эксплуатация началась до выхода патча, ошибка считается уязвимостью нулевого дня; если после — её называют n-day.
Доказательства эксплуатации в реальных атаках дают расследования инцидентов, киберразведка, ханипоты, телеметрия защитных продуктов и отчёты о сбоях.
Почему это важно
Одна лишь оценка критичности не показывает срочность. Уязвимость средней опасности, которую активно используют атакующие, зачастую опаснее критической, которую никто не эксплуатирует. Поэтому американское агентство CISA с ноября 2021 года ведёт каталог Known Exploited Vulnerabilities (KEV), а федеральные ведомства США обязаны устранять включённые в него уязвимости в установленные сроки согласно директиве BOD 22-01. Многие организации используют KEV вместе с CVSS и вероятностной оценкой EPSS, чтобы решить, что исправлять в первую очередь. Массовая эксплуатация одной уязвимости, как Log4Shell в 2021 году или ошибки в MOVEit Transfer в 2023-м, может за считаные дни затронуть тысячи организаций.
Как реагировать на эксплуатируемые уязвимости
- Следить за каталогом KEV и бюллетенями вендоров и считать пометку «exploited» высшим приоритетом в управлении патчами.
- Если патча ещё нет, применить рекомендованные вендором меры смягчения или отключить систему от интернета.
- После установки патча искать признаки более ранней компрометации — злоумышленники могут уже быть внутри.
- Сокращать доступность периметральных устройств, таких как VPN-шлюзы и межсетевые экраны, — они часто становятся целью.
