Що таке експлойт, як він працює і як захиститися від атак через вразливості

Експлойт — це код, команда або спеціально підготовлений файл, який використовує вразливість у програмі, операційній системі чи пристрої, щоб змусити їх виконати непередбачену дію: запустити сторонній код, надати зловмиснику ширші права або розкрити дані. Сам по собі експлойт зазвичай не є шкідливим ПЗ. Це інструмент, що відчиняє двері, через які потім заходить троян, програма-вимагач чи шпигунський модуль.

Атаки через вразливості — не історія з минулого. За спостереженнями Google Threat Intelligence Group (GTIG), експлуатація вразливостей залишається найпоширенішим способом початкового проникнення в інцидентах, які розслідує Mandiant, — частіше, ніж викрадені облікові дані чи фішинг. Лише у 2025 році аналітики Google зафіксували 90 вразливостей, які зловмисники використовували ще до виходу виправлень.

Що таке експлойт простими словами

Вразливість — це помилка в коді, логіці чи налаштуваннях програми, яку можна обернути на шкоду. Експлойт — конкретний спосіб нею скористатися. Якщо порівняти з дверима, вразливість — це дефект замка, експлойт — відмичка, виготовлена саме під цей дефект, а корисне навантаження (payload) — те, що зловмисник робить, опинившись усередині.

Тому в кожній атаці через вразливість можна виділити три складники:

• вразливість — помилка в програмному чи апаратному забезпеченні або в конфігурації;
• експлойт — код чи дані, які цю помилку активують;
• корисне навантаження — бекдор, програма-вимагач, шпигунський модуль чи викрадач паролів, що запускається після успішної експлуатації.

Кожна публічно відома вразливість отримує ідентифікатор CVE (наприклад, CVE-2025-8088) та оцінку критичності за шкалою CVSS від 0 до 10. Саме за цими ідентифікаторами розробники випускають виправлення, а фахівці з безпеки відстежують атаки.

У геймерському середовищі слово «експлойт» має інше значення: так називають використання помилки в грі для нечесної переваги — проходження крізь стіни, дублювання предметів тощо. З кібербезпекою це значення поєднує лише спільне походження від англійського to exploit — «використовувати».

Як працює експлойт

Атака з використанням експлойта зазвичай проходить кілька етапів.

1. Пошук цілі. Зловмисники сканують інтернет у пошуках серверів, VPN-шлюзів і роутерів із вразливими версіями програм або розсилають листи з розрахунком, що одержувач відкриє вкладення у вразливому застосунку.
2. Доставка. Експлойт потрапляє до цілі як мережевий запит, вебсторінка, документ, зображення чи архів.
3. Спрацювання. Програма обробляє підготовлені дані й через помилку виконує дію, якої не мала б виконувати. У звіті GTIG за 2025 рік близько 35% використаних вразливостей становили помилки безпеки памʼяті (зокрема use-after-free та запис за межами буфера), а в корпоративних продуктах поширеними були інʼєкції команд, небезпечна десеріалізація та обхід автентифікації.
4. Закріплення. Після успішної експлуатації запускається корисне навантаження: встановлюється бекдор, шкідливий файл прописується в автозавантаження, починається викрадення даних.

Сучасні браузери, iOS та Android мають кілька рівнів захисту, тож однієї помилки часто недостатньо. Зловмисники поєднують вразливості в ланцюжок експлойтів: одна дає змогу виконати код у браузері, друга — вийти з пісочниці, третя — отримати системні права. За даними GTIG, частина мобільних ланцюжків, виявлених у 2025 році, складалася з трьох і більше вразливостей.

Види експлойтів

Експлойти класифікують за кількома ознаками.

• Віддалені — працюють через мережу без попереднього доступу до системи. Вони найцінніші для зловмисників: саме ними атакують VPN-шлюзи, поштові та вебсервери.
• Локальні — потребують, щоб атакувальник уже мав певний доступ, наприклад обліковий запис зі звичайними правами. Їхня мета — підвищення привілеїв до рівня адміністратора чи системи.
• Експлойти нульового дня (zero-day) — використовують вразливість, для якої на момент атаки не існує виправлення.
• N-day — використовують уже відому й виправлену вразливість на пристроях, де оновлення не встановили.
• Zero-click і one-click — перші не потребують жодної дії жертви (досить отримати повідомлення чи файл), другі спрацьовують після одного натискання. Приклад з аналізу GTIG: спеціально сформовані зображення DNG, надіслані через WhatsApp, атакували бібліотеку обробки зображень на смартфонах Samsung; для запуску достатньо було, щоб жертва відкрила картинку.

Чому старі вразливості небезпечніші, ніж здається

Вразливості нульового дня привертають найбільше уваги, але масові атаки найчастіше будуються на n-day. Після виходу виправлення зловмисники порівнюють стару й нову версії програми, зʼясовують суть помилки й атакують тих, хто не оновився.

Класичний приклад — WannaCry. Microsoft випустила оновлення MS17-010 для протоколу SMBv1 14 березня 2017 року. У квітні угруповання Shadow Brokers оприлюднило експлойт EternalBlue, що використовував цю помилку. Програма-вимагач WannaCry, яка поширювалася саме через EternalBlue, вразила компʼютери по всьому світу в травні — через два місяці після виходу виправлення. За даними CISA, системи з установленим оновленням були їй не вразливі; згодом уряд США публічно поклав відповідальність за атаку на КНДР.

Та сама логіка працює й сьогодні: GTIG у звіті про WinRAR наголошує, що після виправлення зловмисники продовжують покладатися на n-day і використовують те, що користувачі та організації оновлюються повільно.

Хто створює і продає експлойти

Вразливості шукають дослідники безпеки, які повідомляють про них розробникам, державні хакерські угруповання і кіберзлочинці. Між ними існує розвинений ринок.

• Комерційні постачальники шпигунського ПЗ. У 2025 році Google уперше приписала їм більше вразливостей нульового дня, ніж традиційним державним шпигунським групам. Такі компанії продають готові інструменти стеження клієнтам, які самі не здатні розробити експлойти.
• Тіньовий ринок. GTIG описує продавця під псевдонімом zeroplayer, який у липні 2025 року рекламував експлойт для WinRAR, а згодом — експлойт для Microsoft Office за 300 тис. доларів, підвищення привілеїв у Windows за 100 тис. і інструмент для вимкнення антивірусів та EDR за 80 тис.
• Кіберзлочинці. У 2025 році фінансово мотивовані угруповання використали девʼять вразливостей нульового дня, зокрема дві — в атаках, що завершилися розгортанням програм-вимагачів.

Новий чинник — ШІ. У травні 2026 року GTIG повідомила, що уперше виявила експлойт нульового дня, створений, імовірно, за допомогою ШІ: кіберзлочинне угруповання готувало масову атаку, але її, ймовірно, вдалося зірвати. Йшлося про обхід двофакторної автентифікації в популярному відкритому інструменті для адміністрування серверів через веб.

Що атакують у 2025–2026 роках

Річний звіт GTIG 2025 Zero-Days in Review дає найповнішу картину того, куди спрямовані експлойти:

• 90 вразливостей нульового дня у 2025 році проти 78 у 2024-му; рекорд — 100 у 2023-му;
• 43 вразливості (48%) — у корпоративних продуктах; приблизно половина з них припала на засоби безпеки та мережеве обладнання;
• 14 — у периферійних пристроях (VPN-шлюзах, мережевих екранах, роутерах), причому GTIG вважає цю цифру заниженою: на таких пристроях зазвичай немає EDR, тож атаки важко помітити;
• операційні системи (настільні й мобільні) стали найчастішою мішенню — 39 вразливостей, або 44%;
• мобільних вразливостей нульового дня — 15 проти 9 роком раніше;
• на браузери припало менш ніж 10% — Google пояснює це посиленням захисту, хоча зловмисники могли просто навчитися краще ховатися.

Серед виробників найчастіше атакують великі технологічні компанії, а також Cisco, Fortinet, Ivanti та VMware — постачальників VPN, мережевих екранів і платформ віртуалізації.

Відомі атаки з використанням експлойтів

NotPetya: удар по Україні через оновлення M.E.Doc

27 червня 2017 року шкідливе ПЗ Diskcoder.C, відоме як NotPetya, уразило українські фінансові, енергетичні та державні установи. За даними ESET, зловмисники вбудували бекдор у легітимний модуль бухгалтерської програми M.E.Doc і поширили шкідливий код через її оновлення. Усередині мереж NotPetya розповсюджувалася, зокрема, за допомогою того самого експлойта EternalBlue.

Назву взяли в програми-вимагача Petya, але NotPetya лише маскувалася під неї: британський Національний центр кібербезпеки констатував, що зашифровані дані не передбачалося розшифровувати, тобто це була атака-вайпер, а не вимагання. У лютому 2018 року уряд Великої Британії офіційно поклав відповідальність на російських військових; основними цілями названо фінансовий, енергетичний та державний сектори України.

Heartbleed: витік памʼяті серверів

Вразливість CVE-2014-0160 у бібліотеці OpenSSL, оприлюднена у квітні 2014 року, виникла через відсутню перевірку довжини даних у розширенні TLS Heartbeat. Сервер повертав на запит до 64 КБ вмісту своєї памʼяті, а запити можна було повторювати необмежено, поступово витягаючи паролі, приватні ключі шифрування та дані сесій. Експлуатація не залишала слідів у журналах сервера. Виправлення вийшло у версії OpenSSL 1.0.1g.

Log4Shell: один рядок у журналі — і повний контроль над сервером

У грудні 2021 року в популярній Java-бібліотеці журналювання Apache Log4j виявили вразливість CVE-2021-44228 (версії від 2.0-beta9 до 2.14.1). Помилка ховалася в тому, як бібліотека обробляла змінні через JNDI: досить було, щоб застосунок записав у журнал спеціально сформований рядок — наприклад, імʼя користувача чи заголовок запиту, — і бібліотека зверталася до сервера зловмисника й завантажувала з нього код. 17 грудня 2021 року CISA видала надзвичайну директиву, що зобовʼязала федеральні відомства США терміново усунути вразливість.

Log4Shell показала, наскільки важко знайти вразливий компонент, «зашитий» у сотні продуктів. Відтоді GTIG та інші організації радять вести реєстр програмних компонентів (SBOM), щоб за кілька годин зʼясовувати, де саме використовується проблемна бібліотека.

WinRAR CVE-2025-8088: експлойт, який досі атакує Україну

Вразливість у WinRAR дозволяє через шкідливий RAR-архів записати файл за межі обраної для розпакування папки — найчастіше в папку автозавантаження Windows. Користувач бачить безневинний документ, а при наступному вході в систему автоматично запускається шкідливий код. Експлуатацію зафіксували з 18 липня 2025 року; виправлення вийшло у WinRAR 7.13 30 липня 2025 року. Виявили атаку дослідники ESET, які повʼязали її з угрупованням RomCom.

Попри виправлення, вразливість залишається робочим інструментом проти України. За даними GTIG, її використовують кілька повʼязаних із росією угруповань проти українських військових та державних структур: UNC4895 (RomCom), APT44, TEMP.Armageddon, активність якого тривала щонайменше до січня 2026 року, і Turla, що маскувала приманки під матеріали про українських військових та дрони. Серед файлів-приманок трапляються архіви з назвами на кшталт «Заява про скоєння злочину». Схожу історію Google описувала й у 2023 році, коли державні хакери масово використовували іншу вразливість WinRAR, уже виправлену на той момент.

Важлива деталь: WinRAR не оновлюється автоматично, тож нову версію потрібно встановлювати вручну. Саме такі програми — встановлені колись і забуті — найчастіше залишаються вразливими роками.

Як захиститися від експлойтів

Базові правила для всіх

1. Встановлювати оновлення одразу. Варто увімкнути автоматичне оновлення операційної системи, браузера та офісних програм і не відкладати перезапуск: багато виправлень починають діяти лише після нього. GTIG серед іншого радить регулярно перезавантажувати смартфон.
2. Видаляти програми, якими не користуються. Кожна встановлена програма — потенційна точка входу. Особливу увагу варто звернути на ті, що не оновлюються самі, як-от архіватори.
3. Не відкривати несподівані архіви та документи. Навіть якщо лист виглядає як офіційний запит, повістка чи заява, вкладення варто перевірити, а відправника — підтвердити іншим каналом.
4. Працювати без прав адміністратора. Щоденний обліковий запис зі звичайними правами обмежує шкоду, якщо експлойт таки спрацює.
5. Не вимикати вбудований захист Windows. «Захист від експлойтів» у Windows 10 і 11 увімкнений за замовчуванням (Безпека Windows → Керування програмами та браузером). Додатково варто перевірити «Цілісність памʼяті» в розділі «Безпека пристрою → Ізоляція ядра»: функція ускладнює захоплення системи через драйвери і в більшості компʼютерів з Windows 11 уже ввімкнена.
6. Посилити захист браузера. У Chrome варто увімкнути розширений режим Безпечного перегляду, який швидше блокує шкідливі сайти та файли.

Для людей з підвищеним ризиком

Журналісти, активісти, військові та держслужбовці можуть стати мішенню шпигунського ПЗ, яке використовує ланцюжки експлойтів нульового дня. GTIG рекомендує їм вмикати Режим карантину на iPhone, iPad і Mac та Advanced Protection на Android. Режим карантину — це надзвичайний режим, який Apple радить лише тим, хто може бути ціллю складних атак: у ньому блокується більшість типів вкладень у Повідомленнях, вимикаються деякі вебтехнології, а запрошення від незнайомих контактів не приймаються.

Для організацій

• Вести актуальний перелік усіх систем і програмних компонентів (SBOM), щоб швидко знаходити вразливі версії.
• Пріоритезувати виправлення вразливостей із каталогу CISA KEV — переліку тих, що вже використовуються в реальних атаках.
• Не відкривати в інтернет інтерфейси керування та службові порти без потреби; відокремлювати DMZ, мережеві екрани та VPN від ядра мережі й контролерів домену.
• Мати процедуру екстреного оновлення в обхід звичайного погодження змін — на випадок критичних вразливостей.
• Регулярно сканувати інфраструктуру на відомі вразливості, наприклад за допомогою Nessus або OpenVAS.
• Окремо моніторити периферійні пристрої: на VPN-шлюзах і мережевих екранах зазвичай немає EDR, тому аномалії там легко пропустити.

Підсумок

Експлойт — це не окремий вірус, а спосіб перетворити помилку в програмі на точку входу для атаки. Найнебезпечніші з них — експлойти нульового дня, проте більшість масових атак, від WannaCry до нинішніх кампаній проти України через WinRAR, використовує вразливості, для яких виправлення давно існує. Тому найефективніший захист залишається простим: вчасно оновлювати все встановлене, позбуватися зайвого та не вимикати вбудовані механізми захисту операційних систем.