Rapid7 Q3：高危漏洞平均3天被利用，勒索软件主

资讯专家

Rapid7 Q3威胁报告要点

Rapid7发布2026年第三季度威胁分析。报告显示，高危漏洞从披露到被利用平均仅需3天，71%的漏洞在最初7天内遭到利用；其中79%被Rapid7归类为“holy grail”漏洞，即远程可利用且无需凭据或本地用户参与。

勒索软件仍是全球主要威胁。Q3最受攻击的行业为商业服务、制造和医疗。美国是最受攻击国家，占攻击的60%，其后为德国7%、意大利5%、加拿大5%。成功勒索团伙方面，The Gentlemen声称342起事件，Qilin为339起，INC Ransom为99起，DeadLock为98起，Krybit为95起。政府行业勒索软件受害者环比增加15%，其中美国占比从Q2的33%升至Q3的45%。

AI在攻击中的实际占比

Rapid7称，AI仅出现在8%的跟踪事件中，作为运营组成部分，尚未达到完全自主。报告指出，在所有已记录案例中，人类仍选择攻击目标和原因。增长点在于攻击链“战术中段”的自动化：技术选择、目标分诊以及失败步骤恢复，现在可在无人值守情况下运行。

报告提醒区分“AI发现漏洞”和“AI利用漏洞”。AI发现漏洞是真实存在且在加速，但本季度数据并未显示业界担忧的全面AI利用浪潮。防御方可将来自异常主机和进程的AI API使用模式作为遥测来源，主动寻找环境中异常或未授权的AI工具使用。攻击者则通过碎片化、多会话提示绕过AI供应商防护，单会话恶意请求常被拦截，但将目标拆分到多个会话可规避检测。

APT与暗网活动

Q3研究人员跟踪了15个APT和网络犯罪团伙。政府组织是APT的核心目标，其他目标行业包括国防、交通、媒体、医疗、航空航天、金融、能源和技术。报告披露了一个此前未记录的Linux工具包，包括编译进被木马化HAProxy构建的名为“ted”的后门、SSH键盘记录器和基于curl的RAT，自2025年初用于针对韩国组织。Operation C-Major自2010年代中期活跃，使用钓鱼和移动间谍软件针对印度军事和外交人员开展间谍活动。

暗网方面，访问经纪人帖子主导活动。63条地下帖子中有41条广告RDP或网络访问，14条涉及漏洞和零日漏洞的销售、共享或讨论。暗网既是攻击者的活跃市场，也可作为防御方观察潜在未来攻击的预警信号。