🧠 Skills: 622 CVE в месяц — традиционный CVE-трекинг мёртв. Что вместо него.

Коллеги, среда — день для разговора который давно назрел. Июльский Patch Tuesday поставил финальную точку в дискуссии.

Microsoft на пути к тому чтобы закрыть более 1000 уязвимостей за год. FIRST прогнозирует 66 000 CVE в индустрии за 2026 год. Первопричина — AI-assisted vulnerability discovery. Автоматический фаззинг, статический анализ и variant hunting находят баги быстрее чем команды успевают их исправлять.

При таком масштабе традиционный workflow "оцени каждый CVE" рушится. Рейтинг CVSS High или Critical звучит срочно — пока не понимаешь что он применяется к 58% всех опубликованных CVE. Нельзя считать все из них приоритетами — это слово перестаёт что-либо означать.

Современная альтернатива — двухуровневая система приоритизации:

УРОВЕНЬ 1: CISA KEV + EPSS
  CISA KEV — факт эксплуатации в дикой природе
  EPSS — вероятность эксплуатации в следующие 30 дней (0 до 1.0)

  Действие: CISA KEV → патчить немедленно, без обсуждений
             EPSS > 0.5 → патчить в этот цикл
             EPSS < 0.1 → плановый следующий квартал

УРОВЕНЬ 2: КОНТЕКСТ СРЕДЫ
  CVSS 9.8 на компонент которого у тебя нет = не твоя проблема
  CVSS 7.0 на компонент который торчит наружу = твоя проблема

  Вопросы которые надо задать ДО паники:
  □ Этот компонент установлен?
  □ Доступен ли вектор атаки в нашей топологии?
  □ Есть ли публичный PoC?
  □ Есть ли в CISA KEV?

КАК ВЫГЛЯДИТ ПРАВИЛЬНЫЙ ТРИКАЖ ИЮЛЯ 2026:
  622 CVE → смотрим Notable CVEs от Microsoft
  + CISA KEV за неделю (обычно 5-15 записей)
  + EPSS > 0.5 фильтр через api.first.org
  
  Итог: из 622 → реально срочных ~20-30
  Остальные 600 → плановый цикл

# Практика: EPSS API для быстрого триажа
# Пример: проверяем EPSS score для конкретного CVE
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-55040" | \
    python3 -c "import sys,json; d=json.load(sys.stdin); \
    print(f\"EPSS: {d['data'][0]['epss']} | Percentile: {d['data'][0]['percentile']}\")"

# Автоматизированная проверка нескольких CVE:
CVES="CVE-2026-55040,CVE-2025-47981,CVE-2026-50656"
curl -s "https://api.first.org/data/v1/epss?cve=${CVES}" | \
    python3 -m json.tool | grep -E "cve|epss|percentile"

# CISA KEV — RSS для алертов:
# https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
# Добавить в любой RSS-ридер или скрипт мониторинга

Один честный вывод из июля: Microsoft не только убрал детальный список уязвимостей из Security Update Guide — это признание что детальный CVE-трекинг при 622 CVE/месяц нефункционален даже для Microsoft. Они перешли на summary + Notable CVEs.

Это сигнал: если Microsoft не может детально описать 622 CVE — ты не можешь их все трекать. Приоритизация это не лень. Это единственный способ не утонуть.

Итог: CISA KEV + EPSS + контекст среды = рабочая система на 2026 год. Всё остальное — попытка пить из пожарного шланга. Настрой EPSS API и KEV RSS сегодня.

#skills #patchmanagement #epss #cve #security #sysadmin #admin_future

🗓 Patch Tuesday сегодня вечером: как разобрать бюллетень за 15 минут, а не за 3 часа

Коллеги, вторник, 13 октября. Октябрьские обновления Microsoft традиционно начнут раскатываться около 20:00 МСК. Сегодня же официально завершается фаза основной поддержки Windows Server 2022.

📌 АЛГОРИТМ ПРИОРИТИЗАЦИИ НА ВЕЧЕР
Zero-day и CISA KEV (эксплуатация в wild): единственный класс уязвимостей, требующий внеочередной установки в первые 24–48 часов.

Сетевые RCE на внешнем периметре: компоненты, смотрящие наружу (Exchange, RDS Gateway, IIS, Always On VPN), берутся во вторую очередь в рамках текущего спринта.

Внутренний контур (LPE, Client-side): штатный цикл тестирования (лабораторная среда → пилотные серверы → общий продакшен-пул).

Раздел Known Issues: обязательное чтение перечня известных проблем в KB до нажатия кнопки одобрения во WSUS/SCCM (в сентябре это уберегло бы RDS-фермы от мертвых зависаний).

🛠 АВТОМАТИЗАЦИЯ ВЫБОРКИ: KEV И EPSS НА BASH
Bash

# 1. Выгрузка свежих уязвимостей Microsoft, попавших в CISA KEV сегодня
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json | \
  jq -r '.vulnerabilities[] 
    | select(.vendorProject=="Microsoft" and .dateAdded=="2026-10-13") 
    | "\(.cveID)\t\(.vulnerabilityName)"'

# 2. Экспресс-запрос скоринга вероятности эксплуатации (EPSS) через API FIRST
# Замените список CVE на целевые идентификаторы из вечернего бюллетеня
curl -s "https://api.first.org/data/v1/epss?cve=CVE-2026-XXXXX,CVE-2026-YYYYY" | \
  jq -r '.data[] | "\(.cve)\tEPSS: \(.epss)\t(процентиль: \(.percentile))"'

⚠️ КОНТРОЛЬНЫЙ ЧЕКЛИСТ ДО НАЧАЛА РАСКАТКИ
Снапшоты и бэкапы: контроллеры домена, базы данных и шлюзы аутентификации бэкапятся со сбросом транзакционных логов строго до применения обновлений.

NTLMv1 Enforce: клиентские рабочие станции на Windows 11 24H2 и серверы 2025 с корпоративным Wi-Fi/VPN через PEAP-MSCHAPv2 находятся в зоне риска отвала бесшовного входа при отсутствии Credential Guard.

Windows Server 2022: статус Mainstream завершён. Начиная со следующего месяца серверы ветки 2022 будут получать исключительно секьюрные патчи (Extended Support до 2031 года).

#patchtuesday #windows #security #kev #epss #patchmanagement #sysadmin #admin_future