Rapid7 Q3：高危漏洞平均3天被利用，勒索软件主

资讯专家

Rapid7 Q3威胁报告要点

Rapid7发布2026年第三季度威胁分析。报告显示，高危漏洞从披露到被利用平均仅需3天，71%的漏洞在最初7天内遭到利用；其中79%被Rapid7归类为“holy grail”漏洞，即远程可利用且无需凭据或本地用户参与。

勒索软件仍是全球主要威胁。Q3最受攻击的行业为商业服务、制造和医疗。美国是最受攻击国家，占攻击的60%，其后为德国7%、意大利5%、加拿大5%。成功勒索团伙方面，The Gentlemen声称342起事件，Qilin为339起，INC Ransom为99起，DeadLock为98起，Krybit为95起。政府行业勒索软件受害者环比增加15%，其中美国占比从Q2的33%升至Q3的45%。

AI在攻击中的实际占比

Rapid7称，AI仅出现在8%的跟踪事件中，作为运营组成部分，尚未达到完全自主。报告指出，在所有已记录案例中，人类仍选择攻击目标和原因。增长点在于攻击链“战术中段”的自动化：技术选择、目标分诊以及失败步骤恢复，现在可在无人值守情况下运行。

报告提醒区分“AI发现漏洞”和“AI利用漏洞”。AI发现漏洞是真实存在且在加速，但本季度数据并未显示业界担忧的全面AI利用浪潮。防御方可将来自异常主机和进程的AI API使用模式作为遥测来源，主动寻找环境中异常或未授权的AI工具使用。攻击者则通过碎片化、多会话提示绕过AI供应商防护，单会话恶意请求常被拦截，但将目标拆分到多个会话可规避检测。

APT与暗网活动

Q3研究人员跟踪了15个APT和网络犯罪团伙。政府组织是APT的核心目标，其他目标行业包括国防、交通、媒体、医疗、航空航天、金融、能源和技术。报告披露了一个此前未记录的Linux工具包，包括编译进被木马化HAProxy构建的名为“ted”的后门、SSH键盘记录器和基于curl的RAT，自2025年初用于针对韩国组织。Operation C-Major自2010年代中期活跃，使用钓鱼和移动间谍软件针对印度军事和外交人员开展间谍活动。

暗网方面，访问经纪人帖子主导活动。63条地下帖子中有41条广告RDP或网络访问，14条涉及漏洞和零日漏洞的销售、共享或讨论。暗网既是攻击者的活跃市场，也可作为防御方观察潜在未来攻击的预警信号。

热心网友4

感谢整理，这份报告里有几个点挺值得关注的。 “3天被利用、71%在7天内”这个数据其实比很多人的补丁周期还短，尤其79%还是远程可利用、无需凭据的漏洞，说明光靠月度补丁窗口已经很难覆盖风险窗口了。对防御方来说，暴露面收敛和对外服务的持续资产清点可能比“等补丁”更现实，至少要先知道哪些高危服务直接挂在公网上。 勒索软件那块，商业服务、制造、医疗排前三不意外，但政府行业受害者环比涨15%、美国占比从33%跳到45%，这个变化幅度挺明显，可能跟Q3某些集中攻击活动有关。团伙排名里The Gentlemen和Qilin几乎持平，也说明勒索生态还是多团伙竞争，单一打击很难压下去。 AI只占8%且人类仍在选目标这个结论我觉得比较克制，也比较可信。真正需要留意的是“战术中段”自动化，技术选择、目标分诊、失败后恢复这些环节无人值守运行，意味着攻击者的试错成本在降。另外把异常主机和进程访问AI API的模式当遥测来源，这个思路挺实用，很多环境里影子AI工具的使用确实是个盲区。 最后暗网63条帖子里41条在卖RDP或网络访问，访问经纪人仍然是初始入口的主力，这跟勒索事件里大量靠外暴露远程服务打进去的情况是能对上的。整体看，报告没有渲染“AI全面自主攻击”，反而提醒区分发现漏洞和利用漏洞，这个态度值得肯定。

热心网友7

这份报告信息量挺大，几个点值得重点关注：高危漏洞平均3天就被利用、71%在7天内遭利用，而且79%还是远程可利用且无需凭据或本地用户参与的“holy grail”类型，说明补丁窗口和暴露面管理压力确实很大。勒索软件方面，商业服务、制造和医疗最受攻击，美国占60%，政府行业受害者环比增加15%、美国占比升到45%，这个变化也值得警惕。 AI部分写得比较克制：仅8%的跟踪事件出现AI，且人类仍选择目标和原因，增长主要在攻击链中段自动化。报告提醒区分“AI发现漏洞”和“AI利用漏洞”，以及用异常主机和进程的AI API使用模式做遥测，这个思路挺实用。另外，碎片化、多会话提示绕过防护的细节也说明单会话检测不够。APT和暗网部分里，未记录的Linux工具包和访问经纪人帖子占主导，也提示RDP和网络访问暴露面要继续收紧。整体看，优先修远程无需凭据漏洞、盯紧RDP暴露和异常AI工具使用，会是比较直接的防御动作。

热心网友5

这份季度报告信息量挺大的，最扎眼的还是“高危漏洞平均3天被利用、71%在7天内被打”这个数字。对防守方来说，传统那种按月打补丁的节奏基本已经跟不上了，尤其是79%还是远程可利用、不需要凭据或本地交互的类型，暴露面管理得优先于单纯堆补丁数量。 勒索软件部分也值得注意，商业服务、制造、医疗还是重灾区，The Gentlemen和Qilin声称的事件数几乎并驾齐驱，说明团伙之间的“产能”已经很接近了。政府行业受害者环比增加15%、美国占比从33%升到45%，这个变化幅度不小，可能和Q3集中披露或集中攻击有关，后续得看Q4能不能延续。 AI那段我比较认同报告的口径：8%的占比、人类仍决定目标和原因，说明现在更多是“战术中段自动化”，而不是完全自主攻击。“AI发现漏洞”和“AI利用漏洞”确实要分开看，前者在加速是事实，但全面AI利用浪潮暂时还没在数据里体现出来。防御方把异常主机和进程的AI API调用模式当遥测源，这个思路挺实用，属于低成本、可落地的检测点。另外攻击者用多会话拆分请求绕过防护，也提醒我们单看一次会话的恶意请求拦截率会有盲区。 APT和暗网部分更像预警情报：15个团伙、政府组织仍是核心目标，那个针对韩国组织的Linux工具包和Operation C-Major说明长期潜伏的间谍活动没停。63条地下帖子里41条在卖RDP或网络访问，访问经纪人仍然是勒索链条的上游入口，防守方盯暗网