Από τις περίπου 383.000 ευπάθειες λογισμικού που έχουν γνωστοποιηθεί από το 1999 έως τον Σεπτέμβριο του 2026, μόλις περίπου 2.000 (γύρω στο 0,5%) έχουν συνδεθεί με πραγματικές επιθέσεις. Το στοιχείο προκύπτει από ανάλυση που δημοσίευσε η Microsoft τη Δευτέρα 2 Νοεμβρίου 2026 στο blog ασφαλείας της, με τίτλο «What exploited vulnerabilities have in common» («Τι κοινό έχουν οι ευπάθειες που εκμεταλλεύονται οι επιτιθέμενοι»), και υπογράφουν η ομάδα Microsoft Security Research και οι Γιαΐρ Τσαρφατί και Ορ Μπεγκάμ.
Οι ερευνητές διαπιστώνουν ότι οι ευπάθειες που τελικά αξιοποιούνται συγκεντρώνονται σε κατηγορίες «κατάληψης», δηλαδή σε αδυναμίες που επιτρέπουν σε κάποιον να αναλάβει τον έλεγχο ενός συστήματος: εκτέλεση κώδικα από απόσταση (RCE), παράκαμψη ταυτοποίησης και τοπική κλιμάκωση προνομίων. Μαζί αυτές αντιστοιχούν στο 78% των ευπαθειών που έχουν αξιοποιηθεί σε πραγματικές επιθέσεις.
Η ανάλυση συγκρίνει το μερίδιο κάθε κατηγορίας σε όλες τις δημοσιευμένες ευπάθειες (CVE) με το μερίδιό της σε όσες αξιοποιήθηκαν σε επιθέσεις. Η εκτέλεση κώδικα από απόσταση σε διακομιστές ανεβαίνει από 20% σε 37%, η κλιμάκωση προνομίων σε τοπικό επίπεδο από 11% σε 18% και η εκτέλεση κώδικα από απόσταση στο σύστημα του χρήστη (client-side) από 4% σε 13%. Αντίθετα, το XSS, δηλαδή η εισαγωγή κακόβουλου κώδικα σε ιστοσελίδες, πέφτει από 15% σε 4%, και η άρνηση υπηρεσίας από 16% σε 7%.
Διαφορά υπάρχει και στο πού βρίσκεται το σφάλμα. Στο σύνολο των δημοσιευμένων ευπαθειών το 23% αφορά λειτουργικά συστήματα. Σε όσες αξιοποιήθηκαν σε επιθέσεις το ποσοστό φτάνει το 41%. Συγκεκριμένα, από τις 2.056 εκμεταλλευμένες ευπάθειες που καταγράφηκαν, το 59% αφορά εφαρμογές και το 41% λειτουργικά συστήματα. Σε ξεχωριστό διάγραμμα, η Microsoft εξετάζει 1.239 εκμεταλλευμένες ευπάθειες απομακρυσμένης κατάληψης και τις κατανέμει ανά πλατφόρμα.
Οι συντάκτες προειδοποιούν ότι η επίσημη ταξινόμηση μιας ευπάθειας δεν συμπίπτει πάντα με ό,τι μπορεί να πετύχει αξιόπιστα ένας επιτιθέμενος. Γι’ αυτό, για την ιεράρχηση μετράει ο αποδεδειγμένος αντίκτυπος και η δυνατότητα εκμετάλλευσης και όχι μόνο η ετικέτα του CVE.
Ο χρόνος παίζει κρίσιμο ρόλο. Τα δεδομένα του Microsoft Security Exposure Management για το 2026 δείχνουν ότι ο διάμεσος χρόνος εφαρμογής των ενημερώσεων ασφαλείας είναι περίπου δύο εβδομάδες στους σταθμούς εργασίας Windows και πάνω από ένα μήνα στους διακομιστές Windows. Στους διακομιστές Linux και στις εφαρμογές για macOS ο χρόνος ξεπερνά τις 10 εβδομάδες και στις συσκευές δικτύου πάνω από ένα έτος. Την ίδια ώρα, η VulnCheck έχει καταγράψει ότι το 29% των εκμεταλλεύσεων του 2025 ξεκίνησε μέσα σε μία ημέρα από τη δημοσίευση του CVE.
Ο κατάλογος γνωστών εκμεταλλευόμενων ευπαθειών (KEV) της αμερικανικής CISA ακολουθεί την ίδια τάση. Ο μέσος χρόνος από τη δημοσίευση του CVE ως την εγγραφή στον κατάλογο μειώθηκε από 89 ημέρες το 2024 σε 57 το 2025, ενώ με στοιχεία έως τον Σεπτέμβριο του 2026 ο μέσος όρος είναι 20 ημέρες και ο διάμεσος 3 ημέρες. Το NemesisHD έχει παρουσιάσει πρόσφατα τέτοιες εγγραφές, όπως τις ευπάθειες του Ivanti Connect Secure και του GitLab και των Cisco ASA και FTD, που μπήκαν στον κατάλογο λόγω ενεργής εκμετάλλευσης.
Για τους οργανισμούς, η Microsoft προτείνει να δίνεται προτεραιότητα στις ευπάθειες κατάληψης, γιατί η αντιμετώπισή τους διακόπτει τις επιθέσεις νωρίς. Ο συνδυασμός αντίκτυπου και έκθεσης καθορίζει την έκταση της ζημιάς, και πιο επικίνδυνοι είναι οι διακομιστές που χρησιμοποιούν ταυτότητες με περισσότερα δικαιώματα από όσα χρειάζονται. Σε δεύτερη μοίρα έρχονται η άρνηση υπηρεσίας σε συστήματα όπου η διαθεσιμότητα είναι κρίσιμη και η διαρροή διαπιστευτηρίων, που ανάλογα με το περιβάλλον μπορεί να αποδειχθούν σοβαρές, αφού τα διαπιστευτήρια τροφοδοτούν διαδρομές επίθεσης προς προνομιούχες ταυτότητες.
Η εταιρεία συστήνει ανίχνευση των συστημάτων που είναι εκτεθειμένα στο διαδίκτυο από την οπτική του επιτιθέμενου, ιεράρχηση με βάση τον κίνδυνο πέρα από τη βαθμολογία CVSS και ανάλυση διαδρομών επίθεσης, ώστε να διακοπούν οι διαδρομές επίθεσης πριν εξαπλωθεί η παραβίαση. Αναφέρει σχετικά εργαλεία της, όπως το Defender External Attack Surface Management, το Defender Vulnerability Management και το Security Exposure Management. Για τα σφάλματα που οδηγούν σε εκτέλεση κώδικα από απόσταση, χαρακτηριστική είναι η περίπτωση των κρίσιμων ευπαθειών της PHP, για τις οποίες το βρετανικό NCSC και η CISA ζήτησαν άμεση ενημέρωση.
Το πλήρες κείμενο και τα διαγράμματα της ανάλυσης βρίσκονται στο blog ασφαλείας της Microsoft.
