Według Google Threat Intelligence Group (GTIG) liczba ujawnień podatności wzrosła z 5045 w styczniu do 10 740 w sierpniu 2026 r., a zaobserwowane wykorzystanie dotyczyło 0,23% podatności ujawnionych w 2026 r. Opublikowane 30 września badanie daje menedżerowi podstawę do przeglądu priorytetów napraw: obok liczby CVE trzeba uwzględnić aktywną eksploatację, ekspozycję i znaczenie biznesowe usługi. Niski odsetek obserwowanego wykorzystania nie dowodzi bezpieczeństwa pozostałych luk.

Czy z liczby 10 740 da się wyczytać, którą podatność zespół powinien naprawić najpierw? Sama liczba ujawnień nie wskazuje ani firmowego systemu, ani właściciela usługi, ani skutków odłożenia konkretnej naprawy. Przywołując wynik GTIG na spotkaniu zarządu, zacznijmy więc od pytania o kolejkę: jakie informacje uzasadniają jej kolejność? Jeżeli odpowiedzią jest wyłącznie liczba otwartych CVE, poprośmy o powiązanie ich z oceną własnego środowiska. Właśnie temu powinien służyć przegląd zasad: ustaleniu, co wymaga przyspieszenia, co może otrzymać uzasadniony wyjątek i kto odpowiada za ponowną ocenę. Wynik badania jest punktem wyjścia do tych decyzji, a nie gotową listą terminów dla organizacji.

GTIG rozdziela ujawnienia, wykorzystanie i ocenę ryzyka

Jak podaje GTIG, analiza obejmuje podatności ujawnione od 1 stycznia 2025 r. do 31 sierpnia 2026 r. Zestawienie 5045 ujawnień w styczniu 2026 r. z 10 740 w sierpniu opisuje zmianę liczby ujawnień w tych miesiącach. Nie odczytujmy go jako liczby podatności obecnych w firmie ani jako liczby incydentów. Takie informacje wymagają osobnego ustalenia we własnym środowisku.

Drugą miarą jest zaobserwowane wykorzystanie, które według GTIG dotyczyło 0,23% podatności ujawnionych w 2026 r. objętych badaniem. Zachowajmy przy tej wartości słowo „zaobserwowane”. Usunięcie go zmieniałoby informację o obserwacjach badaczy w twierdzenie o wszystkich przypadkach wykorzystania. Nie znamy na tej podstawie prawdopodobieństwa zaatakowania konkretnej firmowej usługi.

GTIG zastrzega również, że jego kategorie ryzyka nie są ocenami CVSS. W notatce dla zarządu podpiszmy więc każdą z tych ocen właściwą nazwą. Jeśli firmowa kolejka używa CVSS, nie przepisujmy do tej kolumny kategorii GTIG, jak gdyby były równoważne. Zamiast takiego skrótu wskażmy, skąd pochodzi ocena i jak wpłynęła na decyzję o terminie.

10 740 ujawnień uzasadnia przegląd zasad ustalania priorytetów; kolejność napraw wymaga danych o własnych usługach.

Odsetek 0,23% nie uzasadnia automatycznego odroczenia

Wyniku 0,23% nie traktujmy jako podstawy do zbiorowego odłożenia pozostałych napraw. Brak obserwacji wykorzystania w przytoczonym badaniu nie jest dowodem, że dana luka pozostaje bezpieczna. Tym bardziej nie wpisujmy tej wartości jako uzasadnienia wyjątku dla usługi, której ekspozycji jeszcze nie sprawdzono.

Proponujemy porównać firmową procedurę z jednym rzeczywistym wpisem w kolejce napraw. Sprawdźmy, czy zapisane uzasadnienie terminu uwzględnia sygnał aktywnej eksploatacji, ekspozycję usługi i jej znaczenie biznesowe. Następnie ustalmy, czy informacje te rzeczywiście wpłynęły na decyzję. Jeśli wpis zawiera samą ocenę CVSS, poprośmy osobę odpowiedzialną za jego ocenę o uzupełnienie uzasadnienia terminu naprawy; nie przypisujmy organizacji zaniedbania bez sprawdzenia dokumentacji.

Gdy w wybranym wpisie brakuje danych o wykorzystaniu lub ekspozycji, oznaczmy te pola jako nieustalone. Wskażmy też odpowiedzialność za ich uzupełnienie. To propozycja weryfikacji własnej praktyki. Przytoczone liczby nie pokazują, jak działają procedury konkretnej organizacji ani czy jej decyzje o odroczeniu były zasadne.

Wyjątek od terminu powinien mieć właściciela i uzasadnienie

Zestawienie GTIG prowadzi nas do rekomendacji zarządczej: powiążmy kolejkę napraw z właścicielem usługi. Dla każdej rozpatrywanej zmiany terminu poprośmy o zapis znaczenia biznesowego usługi, ustaleń dotyczących ekspozycji oraz informacji o aktywnym wykorzystaniu podatności. Na tej podstawie uzasadnijmy decyzję o przyspieszeniu naprawy albo jej odroczeniu.

Przy wyjątku proponujemy zapisać termin ponownego przeglądu i wskazać, jaka zmiana ustaleń wymaga wcześniejszego powrotu do decyzji. Nowy sygnał eksploatacji powinien uruchomić ponowną ocenę wraz z ekspozycją i znaczeniem usługi. Odpowiedzialność za tę ocenę przypiszmy wprost, aby właściciel usługi wiedział, kto ma zweryfikować uzasadnienie i zaproponować dalsze działanie.

Z wartości 0,23% nie wyprowadzimy uniwersalnego terminu naprawy ani kwoty akceptowalnej straty. Przytoczone dane GTIG nie określają kosztu odroczenia w naszej organizacji. Jeżeli decyzja wymaga takiej kalkulacji, wskażmy potrzebne informacje do uzupełnienia. Nie zastępujmy ich odsetkiem z badania. Podobnie sam wzrost liczby CVE nie wystarcza do rozstrzygnięcia, na którą usługę przeznaczyć czas zespołu w pierwszej kolejności.

Wyjątek w kolejce CVE powinien wskazywać właściciela usługi, uzasadnienie i termin ponownej oceny.

Polski menedżer musi uzupełnić obraz kończący się w sierpniu

Dla polskiego odbiorcy raport GTIG jest podstawą do ustalenia pytań o własne środowisko. Przed ustaleniem terminów napraw sprawdźmy, których firmowych usług dotyczą rozpatrywane CVE i jakie jest ich znaczenie biznesowe.

Zachowajmy także granicę czasową: raport opublikowano 30 września, lecz analizowany okres kończy się 31 sierpnia 2026 r. Na potrzeby październikowej decyzji sprawdźmy aktualność informacji użytych w firmowej kolejce. Sierpniowej liczby ujawnień nie podpisujmy jako obrazu października. Data publikacji źródła i okres jego danych powinny pozostać widoczne w notatce.

Choć tytuł raportu odwołuje się do AI, wzrostu z 5045 do 10 740 ujawnień nie przedstawiajmy jako dowodu, że AI jest jego wyłączną przyczyną. Dla decyzji polskiego menedżera trzymajmy się tezy o priorytetach: sprawdźmy eksploatację, ekspozycję i znaczenie usługi. Wyjaśnienie kolejności napraw oprzyjmy na tych ustaleniach, bez dopisywania przyczyn wzrostu, których samo zestawienie nie rozstrzyga.

Co z tym zrobić w poniedziałek

  1. Dodaj sygnał aktywnej eksploatacji. W ciągu 30 minut przejrzyj jeden wpis CVE z kolejki. Zapisz dostępne ustalenie o wykorzystaniu wraz ze źródłem i datą. Jeśli informacji brakuje, oznacz brak i wskaż osobę odpowiedzialną za jego wyjaśnienie.
  2. Sprawdź ekspozycję tej samej usługi. Przeznacz 30 minut na przegląd dostępnej dokumentacji. Zapisz, co potwierdza ocenę ekspozycji, a czego nadal nie wiadomo. Ustal odpowiedzialność za uzupełnienie braków, zamiast uznawać brak danych za brak ekspozycji.
  3. Powiąż termin z właścicielem usługi. W ciągu 30 minut uzupełnij wybrany wpis o właściciela i opis znaczenia biznesowego. Przygotuj uzasadnienie terminu z uwzględnieniem eksploatacji i ekspozycji. Jeśli proponujesz wyjątek, dopisz termin ponownej oceny; nieznane informacje pozostaw oznaczone.

Liczba 10 740 powinna skłonić zarząd do wymagania czytelnego uzasadnienia kolejności napraw. Każdy proponowany wyjątek powiążmy z ustaleniami o eksploatacji, ekspozycji i znaczeniu biznesowym oraz z odpowiedzialnym właścicielem usługi. Wartości 0,23% pozostawmy jej właściwy sens: opisuje zaobserwowane wykorzystanie, bez obietnicy bezpieczeństwa pozostałych podatności.

Źródła

Redakcja cyberinsight.pl.