Агентные сканеры Microsoft обрушили на корпорации рекордный поток уязвимостей
Графики планового обновления инфраструктуры рискуют превратиться в непрерывный экстренный аудит: автоматические инструменты начали выдавать за недели больше находок, чем инженеры закрывали за годы. Во вторник 13 октября 2026 года Microsoft выпустила ежемесячные обновления безопасности и закрыла в них 1411 уязвимостей. Для сравнения: за весь 2025 год в аналогичных ежемесячных выпусках компания исправила 1130 уязвимостей, а за 2024 год — 1009. Один октябрьский пакет перекрыл весь предыдущий годовой объем исправлений.
Масштабное внедрение мультимодельных систем превратило патч-менеджмент из предсказуемой сервисной рутины в критический фактор операционной нагрузки. ИТ-гиганты фиксируют высокую результативность сканеров, однако инфраструктура команд реагирования физически не успевает обрабатывать лавинообразный поток выявленных ошибок.
Конвейер MDASH и рекорды исправлений
Причиной такого объема обновлений стала внутренняя разработка Microsoft под названием MDASH (multi-model agentic scanning harness) — агентная система для поиска уязвимостей. Сканер объединяет несколько моделей, включая сторонние решения, и выстроен в два этапа. На первом этапе проверяются критичные бинарные файлы Windows, а модели разных семейств спорят между собой по поводу каждой находки, после чего отдельный конвейер отсеивает ложные срабатывания. До инженеров доходят отчеты с максимальной степенью уверенности, при этом система дополнительно предлагает варианты правок под окружающий код и подбирает регрессионные тесты.
Рост объема исправлений начался еще летом 2026 года. Руководитель направления Windows + Devices в Microsoft Паван Давулури 9 июля 2026 года опубликовал в блоге Windows пост с предупреждением, что теперь в каждом выпуске будет больше обновлений безопасности. Июльский пакет принес около 600 исправлений: журнал Infosecurity Magazine насчитал 570 уязвимостей, а CyberScoop — 622.
«Багапокалипсис наконец наступил».
Так Дастин Чайлдс из Zero Day Initiative прокомментировал июльский выпуск. Предыдущий годовой максимум Microsoft держался с 2020 года и составлял 1245 уязвимостей. Сатнам Наранг из Tenable еще в июле прогнозировал, что за 2026 год у Microsoft наберется больше 2000 уязвимостей, а возможно, и больше 3000. Только с июня по октябрь набралось больше 3500 исправлений, так что его прогноз оказался даже осторожным.
Аудит внешнего кода и инцидент PHP2Shell
Модели прочесывают не только внутренние репозитории корпораций, но и внешний открытый софт. Показательным примером стал инцидент PHP2Shell: 21 октября 2026 года проект PHP выпустил экстренные обновления для двух критических уязвимостей в самом интерпретаторе. По данным компаний Wiz и Calif, эти ошибки присутствовали в коде еще со времен PHP 5.4, который вышел в 2012 году.
Публикация исправлений пошла не по запланированному графику. Ханипот Amazon MadPot зафиксировал попытку эксплуатации 17 октября 2026 года, за четыре дня до официального раскрытия, а 20 октября 2026 года технические подробности утекли на форум Hacker News. Американское агентство CISA 26 октября 2026 года внесло уязвимости в каталог активно эксплуатируемых и установило федеральным ведомствам трехдневный срок на обновление. Тем не менее, по оценке компании Censys, в сети продолжали работать свыше 32 миллионов PHP-сервисов с уязвимыми версиями.
При этом специалисты Calif подчеркивают ограничения технологии: они работали с общедоступными моделями без специализированных надстроек, указав, что знание истории PHP имело большее значение, чем сама нейросеть. Найти все ошибки с помощью простых промптов пока не способна ни одна модель, поэтому ИИ выступает ассистентом исследователя.
Инструменты автоматического поиска развивались последовательно. В конце 2016 года Google запустила сервис бесплатного фаззинга OSS-Fuzz для открытых проектов, который к июню 2021 года помог найти более 30 тысяч ошибок в 500 проектах.
Техническим командам имеет смысл проверить текущие сервисы на базе устаревших версий PHP и установить опубликованные обновления интерпретатора, сокращая окно для атак до закрытия периметра.
Анализ редакции
Наши материалы: ИИ-охотники за багами: кризис в сфере кибербезопасности (4 июля); Anthropic: ИИ автоматизирует создание эксплойтов N-day (18 июня); Google Chrome переходит на патчинг дважды в неделю из-за AI (31 июля); Google AI устранил за месяц больше багов Chrome, чем за два года (6 августа).
Источник: Хабр ML