94% корпоративных сетей оказались уязвимы для полного захвата при пентесте

УЦСБ опубликовала отчёт Threat Intelligence УЦСБ SOC за первое полугодие 2026 года. Главный вывод: в 94% внутренних пентестов специалисты добивались полного захвата корпоративной сети. Причина — не изощрённые техники, а слабые пароли на критических серверах, учётные данные в открытом виде на рабочих станциях и в сетевых папках, ошибки настройки ADCS и SCCM, устаревшее ПО с давно известными уязвимостями. Треть расследованных взломов российских компаний прошла через подрядчиков. Годом ранее этот показатель не превышал 10%. Рост атак через цепочки поставок за 2025 год составил 90%, по данным «Кросс технолоджис», которые цитирует УЦСБ. Более половины таких атак пришлось на логистический бизнес, а главной целью остаётся промышленность — 40%.

В первом квартале вредоносные объекты блокировались на 16% российских компьютеров АСУ. Число систем, атакованных шифровальщиками, выросло в 2,3 раза. Максимальная доля заражений — 26,4% — зафиксирована на биометрических системах, которые обычно имеют доступ в интернет. Риск растёт из-за устаревших ОТ-систем, расширения сетевых подключений и интеграции с партнёрскими инфраструктурами.

Фишинг, кража учётных данных и веб-уязвимости дают 70–80% расследуемых инцидентов. Только 1% сотрудников сообщает службе безопасности о подозрительных письмах, а 16% переходят по вредоносным ссылкам. 53% инцидентов с шифровальщиками начинались с учётных данных, похищенных инфостилерами. Злоумышленникам зачастую проще купить готовый доступ, чем искать уязвимость.

Среди самых опасных уязвимостей полугодия — CVE-2026-0300 в Palo Alto PAN-OS, которую эксплуатировали как 0-day примерно за четыре недели до раскрытия. В начале июня более 135 тысяч устройств оставались с уязвимыми версиями. Уязвимость NGINX Rift присутствовала в кодовой базе с 2008 года и затрагивала версии за 18 лет; около 5,7 млн доступных из интернета серверов могли работать на потенциально уязвимом ПО.

Рекомендации не приводятся, но УЦСБ указывает на устранимые базовые ошибки. В первую очередь нужно проверить пароли и права доступа, закрыть известные уязвимости, ограничить доступ подрядчиков и контролировать их действия. Внимание к базовым мерам снизит риск полного захвата сети.