МАРТ. Patch gap: почему наличие патча ещё не означает, что система защищена

Фраза «патч выпущен» звучит как хорошая новость только до тех пор, пока вы не спросили, установлен ли он именно на вашем сервере. Реальный риск находится в промежутке между публикацией исправления и его установкой. Чем сервис доступнее из интернета и чем ценнее его роль, тем опаснее этот разрыв.

 

Измеряйте разрыв, а не наличие обновления

Для одного критичного стороннего сервиса зафиксируйте текущую версию, дату выпуска исправления, дату фактической установки, внешнюю доступность и владельца. Получится простой показатель: сколько дней система оставалась уязвимой после появления патча. Для internet-facing сервисов этот показатель должен контролироваться отдельно от общего цикла ежемесячных обновлений.

 

Не смешивайте patching и доверие к дистрибутиву

Сначала ответьте на вопрос, установлена ли исправленная версия. Отдельным пунктом проверьте источник установочного файла и подпись. Подлинный дистрибутив не компенсирует пропущенный security patch, а быстрый patching не отменяет необходимости проверять происхождение обновления.

 

TrueConf как показательный кейс

Kaspersky описала атаку Head Mare на российские организации через непропатченный TrueConf Server. Связка KLCERT-26-057 и KLCERT-26-058 позволяла выполнить произвольный код с высокими привилегиями, развернуть web shell и затем заменить клиентский установщик заражённой версией. Kaspersky указывает, что исправления были выпущены 18 июня 2026 года. Атаки обнаруживались уже после этого, то есть защитное окно существовало, но им нужно было воспользоваться.

 

Проверка пройдена, если

Для критичного сервиса вы можете назвать текущую версию, дату выхода security fix и дату установки. Для внешне доступных систем есть более жёсткий SLA. Если патч нельзя установить сразу, существует компенсирующая мера: ограничение доступа, WAF/IPS-правило, сегментация, отключение функции или временное снятие сервиса с публикации.

 

Что ещё проверить

Не ограничивайтесь ОС. Веб-панели, VPN, гипервизоры, приложения удалённого доступа, средства видеосвязи, backup, middleware и другие сторонние компоненты могут быть такими же привлекательными входными точками. В реестре должен быть хотя бы владелец, версия и источник advisory.

 

Как это связано с решениями Смарт-Софт

Patch management — это в первую очередь процесс эксплуатации, а не продукт. TING (Traffic Inspector Next Generation) и другие средства защиты могут уменьшить поверхность атаки или дать дополнительный detection, но не заменяют установку исправления на уязвимый сервис. Если патч нельзя установить сразу, компенсирующая мера — ограничение доступа, WAF/IPS-правило или сегментация — может быть реализована на уровне сетевой инфраструктуры.

 

Что сделать сегодня

• Выбрать один внешний сторонний сервис.
• Записать текущую версию, дату выхода security fix и дату установки.
• Если patch gap велик — определить компенсирующую меру.

  

Источники

• Kaspersky: Российские организации столкнулись с новой волной атак через уязвимости в необновлённых серверах TrueConf 07.08.2026.

 
Последняя техническая проверка: 14.10.2026.