Blisko połowa dużych firm zamyka zgłoszenia luk bez ich sprawdzenia

Blisko połowa zespołów bezpieczeństwa w firmach zatrudniających od 5000 osób zamyka albo odkłada zgłoszenia podatności bez pełnej weryfikacji. Tak wynika z badania ProjectDiscovery, a jako powód badani podają brak czasu. Wśród zespołów, które pomijają weryfikację, 57% przyznaje, że co najmniej trzy na cztery sprawdzone zgłoszenia okazują się prawdziwe. Według Mandiant w 2025 roku atakujący wykorzystywali lukę średnio po 7 dniach, a w 2018 roku po 63. Trzy czwarte badanych mówi, że zaległości urosły w ciągu roku, a dużą część nowych zgłoszeń generują narzędzia testujące oparte na AI.

Kogo dotyczy

Problem rośnie z wielkością firmy. Większość dużych przedsiębiorstw ma ponad tysiąc nieprzejrzanych zgłoszeń, a około jednej czwartej ponad dziesięć tysięcy. W mniejszych firmach tak duże zaległości zdarzają się rzadko. Siedem na dziesięć zespołów zbiera zgłoszenia z co najmniej trzech źródeł: skanerów, programów bug bounty, testów penetracyjnych i zgłoszeń klientów. Zespoły korzystające z pięciu lub więcej źródeł niemal dwa razy częściej zamykają zgłoszenia bez weryfikacji.