Эксперты Google Project Zero подсчитали, что в первой половине 2020 года была выявлено 11 уязвимостей нулевого дня, которые активно эксплуатировали хакеры. Текущее количество 0-day проблем свидетельствует о том, что, скорее всего, суммарно в текущем году будет выявлено столько же уязвимостей нулевого дня, сколько в 2019 году (20 штук). Ссылка выше ведет на внутреннюю статистику компании, которую специалисты Google собирают и отслеживают с 2014 года. Так, за первую половину 2020 года эксперты включили в свой список следующие проблемы. 1. Firefox (CVE-2019-17026) Эта уязвимость использовалась в сочетании с другими багами. Патчи вошли в состав Firefox 72.0.1 и доступны здесь. 2. Internet Explorer (CVE-2020-0674) Проблема использовалась северокорейской хакерской группой DarkHotel, в сочетании с вышеупомянутым 0-day багом в браузере Firefox. Обе проблемы применялись для слежки за целями в Китае и Японии, и были обнаружены экспертами Qihoo 360 и JP-CERT. Жертвы этой кампании перенаправлялись на сайт, где эксплуатировалась либо уязвимость в Firefox, либо в IE, а затем заражались RAT Gh0st. Патчи вошли в состав февральского «вторника обновлений» и доступны здесь. 3. Chrome (CVE-2020-6418) Уязвимость выявлена экспертам Google Threat Analysis Group, но подробностей об атаках, в которых использовалась проблема, пока нет. Баг был исправлен с релизом Chrome версии 80.0.3987.122, патчи доступны здесь. 4 и 5. Trend Micro OfficeScan (CVE-2020-8467 и CVE-2020-8468) Оба нулевых дня замечены сотрудниками компании Trend Micro. Считается, что баги были обнаружены, когда Trend Micro изучала другую, более старую проблему нулевого дня в том же продукте, в 2019 году использованную для взлома Mitsubishi Electric. Патчи можно найти здесь. 6 и 7. Firefox (CVE-2020-6819 и CVE-2020-6820) Подробная информация об атаках, в которых использовались эти 0-day, пока не опубликована, хотя ИБ-исследователи предполагают, что эти проблемы могли быть частью некой цепочки эксплоитов. Уязвимости исправлены в Firefox 74.0.1, патчи доступны здесь. 8, 9 и 10. Microsoft (CVE-2020-0938, CVE-2020-1020 и CVE-2020-1027) Все три ошибки обнаружены и переданы инженерам Microsoft экспертами Google. Как и в случае с большинством других «отркытий» Google Threat Analysis Group, детали об этих проблемах держатся в тайне, и об атаках ничего неизвестно. Уязвимости исправлены в составе апрельского «вторника обновлений», патчи доступны здесь, здесь и здесь. 11. Sophos XG Firewall (CVE 2020-12271) Ранее в 2020 году неизвестная группа хакеров обнаружила и использовала эту уязвимость. Тогда специалисты Sophos заявил, что с помощью бага хакеры пытались развернуть шифровальщика Ragnarok на зараженных хостах, но компания заявляла, что заблокировала большинство попыток. Патчи доступны здесь. Напомню, что в 2019 году специалисты Google обнаружили 20 уязвимостей нулевого дня, 11 из которых были найдены в продукции компании Microsoft. При этом эксперты объясняют, что у Microsoft находят больше всего ошибок, так как существует больше инструментов безопасности, предназначенных для обнаружения багов в Windows.