Moody’s: 87 de zile pentru a corecta vulnerabilitățile exploatate

Agenția de rating Moody’s a publicat pe 19 octombrie un raport despre riscul cibernetic al organizațiilor pe care le evaluează: timpul median de corectare a unei vulnerabilități cunoscute și deja exploatate de atacatori este de 87 de zile. Cu alte cuvinte, jumătate dintre aceste vulnerabilități sunt încă deschise la trei luni după publicare. În aceleași zile, Rapid7 a măsurat, în raportul său trimestrial despre amenințări, că vulnerabilitățile grave alese de atacatori sunt exploatate în medie în trei zile. Diferența dintre aceste două cifre este punctul de plecare pentru a-ți revizui procesul de patching.

Ce spune raportul Moody’s

Potrivit Infosecurity Magazine, raportul folosește date Bitsight Technologies din februarie 2026, privind vulnerabilitățile publicate în cei doi ani anteriori. Cifrele principale:

• 87 de zile timp median de corectare pentru vulnerabilitățile cunoscute și exploatate;
• 107 zile pentru vulnerabilitățile fără dovezi de exploatare: când nu se știe că vulnerabilitatea e folosită în atacuri, întârzierea e și mai mare;
• potrivit LeMagIT, analiza cuprinde aproximativ 9.500 de emitenți evaluați de Moody’s, iar 60% aveau în rețea cel puțin o vulnerabilitate cunoscută și exploatată necorectată (cifră raportată doar de LeMagIT).

Moody’s avertizează că, după februarie, progresele capacităților ofensive ale inteligenței artificiale ar fi putut reduce și mai mult timpul necesar pentru exploatarea unei vulnerabilități și că și timpii de corectare s-ar fi putut schimba.

Raportul leagă problema de riscul de credit. Potrivit Moody’s, organizațiile cu practici slabe de patching sunt cele mai expuse, mai ales dacă au rețele digitale extinse și, deci, o suprafață de atac mai mare. Companiile mici și mijlocii, adaugă analiștii, ar putea deveni ținte mai rentabile economic pe măsură ce IA reduce costul și efortul atacurilor. LeMagIT rezumă consecința: o postură de securitate slabă riscă să crească costul capitalului.

Între timp, volumul crește: Moody’s amintește că Microsoft și-a doborât propriile recorduri la numărul de actualizări de securitate în trei Patch Tuesday consecutive.

Inteligența artificială și fereastra de exploatare

Potrivit raportului, preluat de Infosecurity Magazine, agenții IA sunt deja capabili să exploateze vulnerabilități și să compromită sisteme în câteva zile. Documentul citează eșecuri de izolare în timpul testelor dezvoltatorilor de la OpenAI și Anthropic; în cazul OpenAI a fost vorba de o evaluare internă, nu de un atac. Moody’s precizează că până acum nu a fost documentată public nicio campanie a atacatorilor de amploare comparabilă, dar consideră temporare obstacolele actuale: costurile de calcul și accesul limitat la cele mai avansate modele. Raportul citează și estimarea AI Security Institute din Regatul Unit: diferența de capabilități cibernetice dintre modelele cu ponderi deschise și modelele de frontieră s-a redus la 4–7 luni, de la 6–10 în estimarea anterioară.

Datele Rapid7: fereastra se măsoară în zile

CSO Online prezintă datele din Quarterly Threat Landscape al Rapid7 pentru trimestrul al treilea din 2026. Nu fac parte din raportul Moody’s, dar ajută la interpretarea lui:

• 43 de vulnerabilități exploatate pentru prima dată în trimestru, cu 19% mai multe decât cu un an în urmă;
• noile CVE de severitate ridicată (scor de la 7 la 10) au crescut cu 133%, iar proof of concept-urile publice cu aproximativ 86%: vulnerabilitățile exploatabile cresc mult mai repede decât cele pe care atacatorii le aleg cu adevărat;
• vulnerabilitățile grave alese de atacatori au fost exploatate în medie în trei zile, iar 71% din exploatarea observată a avut loc într-o săptămână;
• aproape 80% din ce a fost exploatat era accesibil de la distanță, fără autentificare și fără interacțiunea utilizatorului: terenul tehnicii MITRE ATT&CK T1190 (Exploit Public-Facing Application);
• pe forumurile underground, majoritatea mesajelor se refereau la CVE deja prezente în avizele producătorilor sau în catalogul KEV al CISA la câteva zile după publicare: o reambalare comercială a vulnerabilităților cunoscute, mai degrabă decât o piață de noi zero-day.

Potrivit Rapid7, IA a avut un rol operațional doar în aproximativ 8% din atacurile observate, în partea tactică (alegerea tehnicii următoare, selecția țintelor), în timp ce decizia asupra cui să fie atacat a rămas umană.

Puse laolaltă, datele arată că, pentru una din două vulnerabilități exploatate, corecția vine după aproape trei luni, în timp ce atacatorul poate fi pregătit în câteva zile.

Ce înseamnă pentru companiile europene și italiene

Pentru entitățile care intră sub incidența NIS2 (în Italia, Decretul legislativ 138/2024), gestionarea vulnerabilităților este una dintre măsurile de securitate cerute: luni de așteptare pentru corectarea unor vulnerabilități deja exploatate sunt greu de justificat. Legătura pe care Moody’s o face cu bonitatea adaugă un argument economic în discuția cu conducerea. Potrivit lui Chris Cochran (SANS Institute), citat de LeMagIT, consiliul de administrație are nevoie de câțiva indicatori: suprafața expusă exploatabilă, latența patch-urilor, accesele privilegiate și timpul de recuperare testat.

Ce să faci acum

• Pornește de la profilul preferat de atacatori: fă lista sistemelor expuse pe Internet și accesibile fără autentificare și decide pentru fiecare câte zile de expunere sunt acceptabile (recomandarea preluată de CSO Online).
• Dă prioritate vulnerabilităților din catalogul KEV al CISA și celor cu exploit public, cu termene de corectare de zile pentru activele publice, nu cicluri lunare. Rich Mogull (Cloud Security Alliance), citat de LeMagIT, vorbește despre „VulnOps”: gestionarea vulnerabilităților ca proces continuu, după modelul DevOps.
• Măsoară-ți timpul de corectare a vulnerabilităților exploatate și compară-l cu cele 87 de zile din raport.
• Izolează ce nu poți corecta: pentru sistemele vechi, segmentare, restricționarea accesului, controale compensatorii și recuperare testată.
• Redu suprafața: închide expunerile inutile și limitează privilegiile.
• Exersează gestionarea mai multor incidente simultane, cu exerciții de red team și tabletop, cum sugerează Rob Lee (SANS).

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet, cu vechimea lor, cu cele deja exploatate de atacatori evidențiate și cu evoluția zi de zi: datele de care ai nevoie pentru a-ți măsura timpul de corectare. ARX Expose îți arată suprafața de atac din exterior, inclusiv vulnerabilitățile cunoscute ale serviciilor publice, iar ARX Scout verifică ce porturi și servicii sunt cu adevărat expuse.

Ultima actualizare: 22 octombrie 2026