Когда балл не работает: как реагировать на уязвимости по-новому

Листал ленту и зацепился за новость: регуляторы по всему миру меняют правила оценки уязвимостей. Не по баллу CVSS, а по факту, что её уже используют в атаках. Это не просто изменение — это смена парадигмы.

Прочитал у Habr Infosec, что CISA, ЕС и ФСТЭК перестали полагаться на балл CVSS как основу для срочности исправления. Теперь ключевое — не насколько уязвимость «тяжёлая» по формуле, а есть ли подтверждённая эксплуатация. Уже с 2026 года в директивах прописано: если уязвимость в каталоге KEV или есть данные об атаках — срок устранения сокращается до суток. Это меняет всё: раньше считали, что критическая уязвимость — это 9.0 по шкале, теперь — факт, что её уже используют в реальных атаках.

На мой взгляд, это не просто уточнение, а сдвиг в сторону реальности. Балл CVSS часто врёт: уязвимость может быть «высокой», но её не трогают годами. А вот та, что уже в работе — это уже не «возможная угроза», а реальный риск. И это особенно важно для тех, кто ведёт сайты без постоянной поддержки: уязвимость, которую никто не трогал, может внезапно стать «активной» — и тогда всё, что было в запасе, уже не сработает.