W siedmiu z dziewięciu istotnych incydentów, które CERT-EU obsłużyło w 2025 r., początkiem było wykorzystanie podatności. Raport opublikowany wczoraj wieczorem wskazuje też, że głównym celem obserwowanych ataków pozostały urządzenia brzegowe i rozwiązania VPN. Dla zarządu i CISO oznacza to, że kolejność poprawek powinna wynikać z ekspozycji i wpływu, a liczba alertów jest w tej decyzji drugorzędna.

Wyobraź sobie budynek z jednym wejściem od ulicy i dwustoma drzwiami wewnętrznymi. Ochrona dostaje codziennie raport o każdych drzwiach, które skrzypią, i naprawia je w kolejności zgłoszeń. Drzwi od ulicy lądują na liście jako pozycja numer 143, bo nikt nie zgłosił, że skrzypią. Analogia jest uproszczona, ale dobrze oddaje to, co wynika z danych CERT-EU. Raport „Threat Landscape Report 2025: A Year in Review” ukazał się 8 kwietnia 2026 r. o 18:00 i dotyczy bezpośrednio instytucji UE. Opisuje, jak zaczynały się incydenty, które zespół uznał za istotne. Najczęściej zaczynały się od podatności. Najczęściej atakowane były zaś te elementy infrastruktury, które z definicji stoją na styku z internetem: urządzenia brzegowe i VPN.

Siedem z dziewięciu incydentów zaczęło się od podatności

Liczby są małe, ale proporcja jest wyraźna. Według CERT-EU w 2025 r. zespół obsłużył dziewięć istotnych incydentów, a w siedmiu z nich punktem wyjścia było wykorzystanie podatności. To mniej więcej 78 procent. Dla pozostałych dwóch przypadków omawiane ustalenia nie wskazują początku, więc nie ma podstaw, by o nich cokolwiek przesądzać.

Drugie ustalenie dotyczy celów. Jak podaje CERT-EU, urządzenia brzegowe i rozwiązania VPN pozostały głównym celem obserwowanych ataków. Zwróćmy uwagę na słowo „pozostały”: raport opisuje stan, który się utrzymuje.

Omawiane ustalenia nie mówią, jak dokładnie przebiegało wykorzystanie podatności w tych siedmiu przypadkach, i ten tekst nie będzie tego dopowiadał. Z dwóch ustaleń CERT-EU da się natomiast wyprowadzić pytania kontrolne dla każdej organizacji. Które z naszych urządzeń brzegowych i bramek VPN są osiągalne z internetu? Jaką wersję oprogramowania mają dziś? Kto decyduje o ich aktualizacji?

Powiedzmy też uczciwie, czego raport nie mówi. Z liczby siedem na dziewięć nie wynika, ile z tych podatności było wcześniej znanych i miało dostępną poprawkę. Dane są roczne, więc nie dowodzą wzrostu w ostatnich trzech miesiącach. Mówią natomiast, od czego w 2025 r. zaczynały się poważne kłopoty.

Urządzenie, które musi być widoczne z internetu, powinno jako pierwsze dostawać poprawki i jako pierwsze mieć wskazanego właściciela.

Kolejka ułożona według alertów premiuje to, co głośne

Weźmy hipotetyczną kolejkę pracy złożoną z wyników skanera i alertów monitoringu. Jeśli jedynym kryterium jej kolejności jest liczba zgłoszeń, na górę trafią systemy, które tych zgłoszeń generują najwięcej. Sama kolejka nie mówi, czy są to systemy najbardziej narażone.

Tu procedura rozmija się z tym, co pokazuje raport CERT-EU. Jeśli siedem z dziewięciu istotnych incydentów zaczęło się od wykorzystania podatności, a głównym celem były urządzenia brzegowe i VPN, to pytanie „ile mamy alertów?” jest mniej użyteczne od pytania „co z naszej infrastruktury widać z internetu i co się stanie, gdy to padnie?”. Pierwsze pytanie mierzy aktywność narzędzi. Drugie mierzy ryzyko.

Papierowe bezpieczeństwo najłatwiej sprawdzić pytaniami kontrolnymi. Czy polityka, która wyznacza termin instalacji krytycznych poprawek, obejmuje wprost urządzenia brzegowe i bramki VPN? Kiedy ostatnio ktoś porównał ten termin z faktyczną datą aktualizacji tych urządzeń? Omawiane ustalenia nie dotyczą konkretnych organizacji, więc nie ma podstaw, by komukolwiek przypisywać zaniedbania. Każda organizacja może jednak odpowiedzieć na te pytania u siebie.

Liczba alertów mówi, jak głośno pracują narzędzia. Ekspozycja i wpływ powinny wyznaczać kolejność poprawek.

Zarząd potrzebuje listy usług z internetu, właściciela i terminu

Dla zarządu ustalenia CERT-EU przekładają się na trzy kolumny w jednym arkuszu. Pierwsza to lista usług i urządzeń dostępnych z internetu, na początku urządzenia brzegowe i rozwiązania VPN. Druga to właściciel każdej pozycji, czyli osoba, która odpowiada za jej stan i decyduje o oknie serwisowym. Trzecia to termin usunięcia znanego ryzyka.

Taka lista zmienia rozmowę o priorytetach. Zamiast pytać zespół IT, ile podatności zamknięto w kwartale, zarząd może zapytać, ile pozycji z listy usług wystawionych do internetu ma przekroczony termin i kto za nie odpowiada. To pytanie ma odpowiedź, którą da się sprawdzić, i przypisuje odpowiedzialność konkretnej osobie zamiast całemu działowi.

Rachunek ryzyka jest asymetryczny. Weźmy hipotetyczny wybór między wewnętrznym systemem ze stu alertami a bramką VPN z jedną zaległą poprawką. Kolejka alertów każe zacząć od pierwszego. CERT-EU podaje jednak dwa osobne ustalenia: siedem z dziewięciu istotnych incydentów zaczęło się od wykorzystania podatności, a urządzenia brzegowe i VPN pozostały głównym celem obserwowanych ataków. Żadne z nich nie mówi, ile incydentów zaczęło się na VPN, ale oba przemawiają za tym, by bramka VPN stała w kolejce wyżej. Ta różnica powinna być widoczna w budżecie, w harmonogramie prac i w raportowaniu do zarządu.

Ustalenia dotyczą instytucji UE, a próba to dziewięć incydentów w jednym roku. Wniosek o kolejności działań nie wymaga jednak dużej próby. Wymaga uznania, że system dostępny z internetu ma inny profil ryzyka niż system schowany za kilkoma warstwami ochrony.

Co z tym zrobić w poniedziałek

  1. Poproś zespół IT o arkusz usług i urządzeń dostępnych z internetu, zaczynając od urządzeń brzegowych i VPN: nazwa, adres, wersja oprogramowania, data ostatniej aktualizacji.
  2. Przy każdej pozycji wpisz jednego właściciela z imienia i nazwiska oraz termin usunięcia znanego ryzyka; pozycje bez właściciela oznacz jako pierwsze do rozmowy na najbliższym spotkaniu zarządu.
  3. Sprawdź, według czego zespół ustala dziś kolejność poprawek, i dopisz do kryteriów dwa pytania: czy system jest dostępny z internetu i jaki będzie skutek jego przejęcia dla działania organizacji.

Największa wartość raportu CERT-EU leży w tym, że porządkuje kolejność pracy. Skoro w 2025 r. większość istotnych incydentów zaczęła się od podatności, a głównym celem pozostały urządzenia brzegowe i VPN, priorytet należy się temu, co widać z internetu. Organizacja, która ma tę listę, właścicieli i terminy, rozmawia o ryzyku. Organizacja, która ma tylko licznik alertów, rozmawia o statystyce.

Źródła

  1. Threat Landscape Report 2025: A Year in Review, CERT-EU, 8 kwietnia 2026

Redakcja cyberinsight.pl.