Отчет · 2026
Състояние на нашите констатации 2026
Анонимизиран, обобщен поглед върху това какво в действителност показаха 21 ангажимента на PXLSec и 190 констатации: разпределението по критичност, най-честите първопричини и къде беше най-големият риск. Безплатно за изтегляне, без формуляр.
Безплатно. Без формуляр, без имейл.
Критичност
Колко сериозни бяха констатациите
Процентите са от 180-те констатации, оценени по скалата CVSS; 10 констатации от red team, докладвани като описателен риск вместо с оценка по CVSS, са включени в общия брой от 190, но са изключени от това разпределение, вместо да бъдат предполагани.
Първопричини
Какво намираме най-често
Всеки процент е делът на 21-те ангажимента, в които съответният клас констатации се е появил поне веднъж, а не дял от отделните констатации; пълният списък с 11 класа е в доклада.
Основни теми
Какво показват данните
Хигиената се повтаря, изобретателните дефекти — не
Класовете, които се срещат най-често, са проблеми с конфигурацията и хигиената: разкриване на информация, неправилна конфигурация на сигурността и липсващо укрепване на защитата се появяват в повечето ангажименти. Не новите експлойти бяха това, което определи водещите констатации.
Сериозните констатации са малцинството, което има значение
Констатациите High и Critical съставляват около 17% от оценените по CVSS, но именно те определят изхода на ангажимента. Дългата опашка от Low и Informational е там, където е основният обем; сериозните констатации почти винаги бяха онези, които изискваха човек да ги свърже във верига.
Идентификационни данни, контрол на достъпа и Active Directory
Водещите проблеми се групираха около работата с идентификационни данни, контрола на достъпа и хигиената на Active Directory. Нарушеният контрол на достъпа, изложените тайни, препредаването в AD и Kerberoasting се срещат в по-малко ангажименти от неправилната конфигурация, но носят далеч по-голямо въздействие, а два до три ангажимента на red team достигнаха пълна компрометация на домейна.
Чистите резултати също са доказателство
Не всеки ангажимент е история на ужасите и докладът отразява чистите резултати също толкова внимателно, колкото и сериозните. В този набор от данни едно външно уеб приложение върна нула констатации.
Метод
Как го изградихме
Всяко число произлиза от собствените ни записи по ангажименти, анонимизирани до числа преди анализа.
- Обобщава констатации от 21 скорошни ангажимента на PXLSec: уеб, API, мобилни, вътрешни, външни, red team и фишинг.
- Броят е взет дословно от обобщението на констатациите на всеки ангажимент; нищо не е моделирано или раздуто.
- Констатации, които не са оценени по скалата CVSS (част от докладите на red team), се включват в общите суми, но се оставят извън разпределението по критичност, вместо да бъдат предполагани.
- Класовете констатации се измерват по дела на ангажиментите, в които всеки клас се е появил поне веднъж.
- Всички данни са анонимизирани до брой: не са използвани клиентски, системни или лични данни.
- Извадката е скромна; публикува се, защото е реална, а не защото е голяма.
Често задавани въпроси
Често задавани въпроси
Трябва ли да попълня формуляр, за да изтегля доклада?
Не. PDF файлът е безплатен, с директно изтегляне, без формуляр и без имейл адрес.
Откъде идват данните?
Всяко число идва от предаден доклад по ангажимент на PXLSec. Броят е взет дословно от обобщението на констатациите на всеки ангажимент — през уеб, API, мобилни, вътрешни, външни, red team и фишинг ангажименти. Нищо не е моделирано или раздуто.
Как са анонимизирани данните?
Данните бяха сведени само до брой преди какъвто и да е анализ. Не са използвани имена на клиенти, системи или лични данни, а докладът не съдържа подробности, които идентифицират организация.
Ще има ли следващо издание?
Възнамеряваме да обновяваме доклада с предаването на нови ангажименти. Всяко издание ще следва същото правило: само реални, предадени констатации, анонимизирани до брой.
Прочетете пълния отчет
PDF файлът покрива пълната разбивка, метода и какво да бъде поправено първо.
Искате да знаете как се сравнява вашата среда?
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност