Сентябрьский Patch Tuesday Microsoft изменил масштаб ежемесячной борьбы за безопасность. По подсчётам исследователя Zero Day Initiative Дастина Чайлдса, компания исправила около 972 уязвимостей — 997, если учитывать исправления Chromium, поставляемые через Edge, — из которых 112 были оценены как критические.¹

Общее число превысило предыдущий рекорд в 570 исправлений, установленный всего двумя месяцами ранее. В этом году Microsoft уже устранила 2 760 уязвимостей — более чем вдвое больше, чем за весь прошлый год; при нынешних темпах годовой показатель превысит совокупные итоги 2023, 2024 и 2025 годов.¹

Чайлдс назвал растущие объёмы «новой нормой». Он похвалил команды, выполняющие исправления, но сопроводил это более серьёзным предупреждением: «Обнаружение уязвимостей с помощью ИИ не демонстрирует никаких признаков замедления. Однако мы пока не видели соответствующего всплеска активной эксплуатации».¹

В набор этого месяца входят две уязвимости нулевого дня, которые уже активно эксплуатируются, наряду с ошибками, способными привести к потенциально тяжёлым последствиям. Одна ошибка в Exchange Server может позволить неаутентифицированному злоумышленнику выполнить код, отправив вредоносное вложение Visio; другая затрагивает службы удалённых рабочих столов и имеет оценку серьёзности 9,8. Чайлдс сообщил, что перестал считать червеобразные уязвимости, когда их число достигло 20 — ошибки такого типа способны распространяться с машины на машину без взаимодействия с пользователем.¹

Отрасль в целом уже представила эту тенденцию как гонку со временем. За две недели до выпуска крупные ИИ- и облачные компании присоединились к открытому письму, предупредившему, что окно для устранения слабых мест может сузиться до того, как злоумышленники с ИИ начнут массово их эксплуатировать.¹

У тревоги есть контраргумент: поиск ошибок с помощью ИИ по-прежнему дорог, может давать ложноположительные результаты и создаёт для поставщиков стимул продвигать инструменты, построенные на их собственных дорогостоящих моделях. Однако сторонники указывают на растущее число обнаружений, включая отчёт Mozilla, согласно которому исследователи с помощью Mythos нашли 271 уязвимость почти без ложноположительных результатов. Главный вопрос уже не в том, реальна ли гора исправлений, а в том, свидетельствует ли она о контроле — или о приближающемся потопе.¹