Нещодавно Microsoft та Google випустили критичні оновлення безпеки для Windows і Chrome. Причина нетипова навіть для великого вендора: вразливості не просто виявлені — вони вже активно експлуатуються в атаках.
У випадку Windows йдеться про вразливість у ядрі операційної системи (CVE-2025-62215), яка дозволяє зловмиснику ескалювати привілеї до рівня SYSTEM. Це означає повний контроль над пристроєм: встановлення шкідливого ПЗ, доступ до даних, можливість руху мережею. Ключовий ризик у тому, що для експлуатації не потрібен складний ланцюг дій — достатньо початкового доступу з мінімальними правами.
Chrome залишається однією з головних точок атаки. Закрита вразливість стала вже сьомою zero-day для браузера цього року. Її виявлення командою Google TAG, яка спеціалізується на відстеженні урядових шпигунських кампаній, свідчить про інше: браузер дедалі частіше використовується як стартова точка цільових атак, а не лише масового шкідливого ПЗ.
З точки зору ризик-менеджменту це важливий сигнал. У сучасному ландшафті загроз час між публікацією патча та початком активної експлуатації скоротився до годин. У багатьох випадках атаки починаються ще до того, як більшість організацій встигають оцінити ризики або включити оновлення в планове вікно обслуговування.
Для бізнесу ключовим фактором стає не наявність складних систем захисту, а базова дисципліна: контроль оновлень, прозорий процес patch management і розуміння, які кінцеві точки становлять найбільший ризик. Браузери та робочі станції співробітників сьогодні є таким самим критичним активом, як сервери чи хмарна інфраструктура.
Zero-day — це про часовий розрив між тим, коли вразливість вже працює проти вас і моментом, коли ви вирішите оновитись. І що довше цей розрив, то вищою стає вартість помилки.
