Патч может закрыть одну уязвимость и одновременно подсказать злоумышленникам путь к следующей. Terra Security выяснила, что в 2026 году исправления открытого ПО стали гораздо чаще требовать повторной доработки. Компания изучила публичные записи CVE и уведомления GitHub, а история ядра Linux показала, как исправление одного дефекта порождает другой.

В 2019–2025 годах около 0,2% исправлений из уведомлений GitHub за 90 дней получали новое предупреждение о неполном устранении уязвимости. В 2026 году доля достигла 2,3%, что по округлённым значениям означает рост примерно в 11 раз. Сама Terra оценивает увеличение приблизительно в восемь раз, поэтому точный множитель зависит от методики и исходных цифр.

В Linux проблема проявляется иначе. По данным записей об ошибках ядра по состоянию на 8 октября, 3,2% уязвимостей возникли в коде, добавленном ради исправления другой уязвимости. В активно изменяемых подсистемах fs/smb и net/sched доля достигает примерно 10%. Речь не о каждом десятом неудачном патче, а о происхождении уязвимостей в отдельных подсистемах ядра.

Примером стала цепочка ошибок в Unix-сокетах Linux. Изменение 2023 года нарушило учёт файловых дескрипторов при передаче специальных сообщений. Исправление найденного дефекта могло вызвать зависание ядра, а следующая правка тоже оказалась неполной из-за порядка элементов в списке. Каждому дефекту присвоили отдельный номер CVE, хотя цепочка выросла из одного механизма.

Чаще обходят патчи против SSRF и загрязнения прототипов JavaScript. SSRF заставляет сервер обращаться к чужим адресам, а загрязнение прототипов меняет свойства объектов программы. Среди неудачных исправлений подобные дефекты встречаются соответственно в 4,6 и 11 раз чаще, чем следует из их доли среди всех CVE. Причина часто в узких проверках входных данных.

Разработчики порой запрещают известный опасный адрес, но пропускают его альтернативную запись. В Roundcube мартовский патч блокировал 127.0.0.1, но не варианты 127.1 и 0x7f000001, а также доменные имена, ведущие на тот же адрес. Позже выпустили ещё три патча. В августе похожий обход патча PaperCut обнаружили менее чем через сутки после первого обновления.

Для уже эксплуатируемых уязвимостей Terra обнаружила примерно четырёхкратный рост вероятности последующего обхода патча по сравнению с другими дефектами тех же поставщиков. ИИ ускоряет анализ исправлений. В сентябре специалисты разобрали патч MikroTik с помощью ИИ за час. Однако совпадение двух тенденций не доказывает, что именно ИИ вызвал рост числа неудачных исправлений.

Terra советует до выпуска проверять патчи на альтернативные способы эксплуатации, устранять причину ошибки и искать побочные эффекты. Администраторам рекомендуют не считать установку обновления полной гарантией безопасности, особенно после реальных атак. Повторные тесты должны показать, закрыты ли все пути обхода, а не только первоначальный сценарий.