Day off Tuesday

Британская компания Socura опросила 500 руководителей по кибербезопасности и выяснила, что 22% из них сознательно брали больничный или планировали отпуск, чтобы избежать Patch Tuesday. Еще 41% работали сверхурочно, 37% задерживались допоздна, а 29% признались, что испытывают «значительную тревогу» накануне ежемесячного релиза обновлений. Гендиректор Socura Эндрю Кейс сравнил это с бухгалтером, который уходит в запой в день сдачи отчетности.

Причина банальна — объемы. В сентябре Microsoft выпустила более 900 патчей, в октябре — рекордные 973. Для сравнения, за весь 2025 год набралось только 1130. Но и Microsoft тут не один такой. В Debian в конце сентября вышел security-релиз, в котором перечислены 1313 CVE для ядра Linux. Исследователь Ян Шауманн посчитал, что слово «several» в описании обновления — это, мягко говоря, эвфемизм. Как заметил один из пользователей Hacker News, «several» — это 5–9 врагов в Heroes of Might & Magic III, а для 1313 существует отдельный термин — «легион».

Патчить все это вручную уже нереально. Проблема не в том, что администраторы ленятся, а в том, что объем уязвимостей превысил способность их осмысленно приоритизировать. Поэтому 20% руководителей ИБ и берут отгул.

В России к этому добавляется БДУ ФСТЭК. За июль 2026 года в банк данных внесены 1864 новые уязвимости — примерно по 85 в рабочий день, если считать без выходных. Причем, это не просто зеркало CVE. Заметная часть записей — эксклюзивные данные, которых нет в западных базах. Пропускать их нельзя, потому что приказ №117 требует реагировать именно на эти идентификаторы. Так что, если западные администраторы берут отгул раз в месяц, их российским коллегам, возможно, стоит задуматься о постоянном отпуске.

@antiinfosec