Уровень идентификации: 2,6 млн атак, одна уязвимость с CVSS 10,0 и утечка данных 10 218 802 человек

Один день, две разные меры

16 сентября 2026 года стало днём, на который пришлись четыре независимые друг от друга записи. По словам министра по цифровым делам Тайваня Линь И-цзин, на встречах в Вашингтоне прозвучало, что страна сталкивается примерно с 2,6 млн кибератак в сутки. Американское Агентство по кибербезопасности и безопасности инфраструктуры CISA внесло уязвимость CVE-2026-76460 в продукте Cisco Identity Services Engine в каталог известных эксплуатируемых уязвимостей с оценкой 10 баллов из 10 по шкале CVSS. Орган по защите персональных данных решением № 2026/2039 опубликовал уведомления об утечках данных в 12 компаниях; в 11 компаниях, где число удалось установить, затронуты 10 218 802 человека. CloudSEK сообщила, что нацеленная на Ближний Восток активность программ-вымогателей выросла с 17 записей в базе данных об угрозах в апреле 2025 года до 357 записей в июне 2026 года, то есть более чем в 20 раз.

Эти четыре цифры не лежат на одной шкале. 2,6 млн — мера объёма; она опирается на собственные измерения министерства и не подтверждена третьей стороной. Поскольку объём включает и трафик автоматического сканирования, он может служить обоснованием бюджета на защиту, но не показывает точку слома. CVSS 10,0 — мера структурная: она означает, что неаутентифицированный удалённый злоумышленник одним подготовленным запросом обходит аутентификацию в веб-интерфейсе управления и выполняет команды с правами root. Сумма в 10 218 802 человека — тоже мера, переходящая порог: собранное в одном решении Совета число превращает случай из технического инцидента в регуляторное дело.

Мишенью стала сама идентификация

CVE-2026-76460 возникает из-за неправильного использования привилегированных API в Cisco ISE. По данным BleepingComputer, затронуты версии 3.1, 3.2, 3.3, 3.4 и 3.5, а также ISE Passive Identity Connector; исправления вышли в 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 и 3.5 Patch 4. Временного обходного решения нет; SecurityWeek пишет, что до установки патча удалённую эксплуатацию можно блокировать инфраструктурными списками контроля доступа. Группа реагирования на инциденты безопасности продуктов Cisco PSIRT подтвердила активную эксплуатацию, не назвав злоумышленника. В том же предупреждении CISA добавила в каталог и уязвимость неверных разрешений по умолчанию CVE-2026-87886 в продукте Acronis Backup.

Разница здесь — в функции продукта. ISE — центральный компонент, определяющий, кто и к какому ресурсу получает доступ в корпоративных сетях; его захват означает переход к злоумышленнику не одного сервера, а всего решения о доступе. Остальные записи той же недели указывают на тот же уровень: в уведомлениях KVKK отмечено, что в некоторых компаниях утекли сводные данные входа и паролей, средняя оценка CVSS девяти уязвимостей, изученных CloudSEK, рассчитана в 9,2, а на тайваньской стороне повестка сместилась к постквантовой криптографии и аутентификации. Поверхность атаки переносится с конечных устройств на уровень идентификации и доступа; на этом уровне одна ошибка обесценивает всю периметровую защиту. В датах источники расходятся: предупреждение CISA датировано 16 сентября, тогда как SecurityWeek указывает и бюллетень Cisco, и добавление в KEV 17 сентября; это расхождение не удалось подтвердить независимо.

Турция: одновременно жертва и точка концентрации

Крупнейшая утечка в списке KVKK произошла в компании Yeni Mağazacılık A.Ş., управляющей брендом Eve Kozmetik: затронуты имя, фамилия, адрес электронной почты и телефон 6 263 305 клиентов. За ней идут Shaya Mağazacılık с 2 298 726 человек и Deniz Deniz Butik Tekstil с 1 271 096; остальную часть списка составляют более мелкие уведомления — от 133 991 до 695 человек, а для İnternet Tekstil число пока не установлено. Общая причина, выделяющаяся в уведомлениях, — эксплуатация уязвимости в сторонней программной библиотеке. Являются ли эти 12 инцидентов частью одной кампании, независимо подтвердить не удалось; однако повторение общей причины показывает, что один компонент способен одновременно раскрыть десятки компаний.

Региональная картина смотрит в ту же сторону. В отчёте CloudSEK, охватывающем период с апреля 2025 года по 31 августа 2026 года, на первом месте Израиль с 7112 записями; Турция вторая, далее идут Иран, Объединённые Арабские Эмираты и Саудовская Аравия. Для ОАЭ зафиксировано 2588, для Саудовской Аравии — 1880 индикаторов активности; 37,8% региональной хактивистской активности была направлена против Израиля. По данным The National, Турция занимает первое место в регионе по нацеленности программ-вымогателей; выделяющиеся отрасли — обрабатывающая промышленность, строительство, оборона и логистика. То есть Турция вторая по общему объёму угроз и первая по атакам с шифрованием ради выкупа. Это расхождение указывает на то, что злоумышленники видят в Турции не столько политическую мишень, сколько промышленную сеть, способную платить. Самым насыщенным месяцем по общей активности стал март 2026 года с 2245 записями.

Защита расходится по институциональному потенциалу

Главный разлом — в распределении не угрозы, а защиты. CISA обязала федеральные гражданские исполнительные ведомства закрыть уязвимость в течение 3 дней; этот срок идёт из директивы BOD 26-04 и связывает только федеральные учреждения. Для операторов энергетики, здравоохранения, телекоммуникаций и финансов, работающих с тем же продуктом, обязывающего графика нет. Компании из списка KVKK находятся на другом конце шкалы: преимущественно розница и текстиль, от уведомления на 695 человек до уведомления на 6,3 млн, в большинстве своём средние предприятия без собственной службы безопасности. Один и тот же класс уязвимости встречает срок установки патча, который в зависимости от институционального потенциала колеблется от трёх дней до месяцев.

Стоимость на стороне нападения при этом снижается. CloudSEK сообщила, что MuddyWater использовала модель Google Gemini для разработки инструментов атаки, а APT42 — искусственный интеллект для создания фишинговых сообщений; по словам Линь, злоумышленники начали применять искусственный интеллект, чтобы сделать атаки эффективнее. В ОАЭ число ежедневных попыток взлома выросло с 200 000 до войны примерно до 800 000, а один злоумышленник потребовал у частной компании выкуп свыше 5 млн долларов. Стоимость подготовки падает, а стоимость установки патчей остаётся прежней; ножницы раскрываются между этими двумя кривыми. Тайвань пытается закрыть их на государственном уровне: с OpenAI обсуждалось обнаружение уязвимостей, с Meta — аутентификация и противодействие мошенничеству, с Amazon — спутниковая связь. Однако ни в одном из двух источников не говорится об обязывающем соглашении; конкретный текст меморандума независимо подтвердить не удалось.

За чем следить

Определяющими будут три индикатора. Первый — число уязвимостей в продуктах управления идентификацией и доступом, попадающих в каталог KEV; именно эта серия покажет, был ли CVE-2026-76460 единичным случаем или первым примером целого класса. Второй — повторяется ли в последующих публичных уведомлениях KVKK обоснование через стороннюю программную библиотеку; если повторяется, цифра 10 218 802 окажется не потолком, а полом. Третий — динамика месячных региональных записей о программах-вымогателях относительно уровня в 357 в июне 2026 года. В этом докладе не приводится оценка прямых экономических издержек киберинцидентов; публично доступные данные запаздывают и неполны.