zarządzanie podatnościami

Zarządzanie podatnościami to ciągły proces wykrywania, oceny, priorytetyzacji i usuwania podatności w oprogramowaniu i infrastrukturze, zakończony sprawdzeniem, czy poprawka zadziałała. Materiał szkoleniowy opublikowany w bazie wiedzy gov.pl opisuje go jako drogę od identyfikowania podatności na podstawie dostępnych źródeł informacji i specjalizowanych narzędzi, przez ich ocenę, aż po tymczasowe i docelowe usunięcie ^[2]. Węższym pojęciem jest zarządzanie poprawkami (patch management), które NIST definiuje jako identyfikowanie, priorytetyzowanie, pozyskiwanie, instalowanie i weryfikowanie instalacji poprawek, aktualizacji i nowych wersji w całej organizacji ^[1].

Jak działa

Proces ma charakter cyklu, bo nowe podatności pojawiają się stale, a każda zmiana w systemie może wprowadzić kolejne. Materiał z gov.pl wymienia jako składowe pozyskiwanie informacji o podatnościach, ich ocenę, usuwanie tymczasowe i docelowe oraz ocenę efektywności i doskonalenie procesu ^[2]. NIST opisuje łatanie jako element konserwacji zapobiegawczej technologii, czyli stały koszt prowadzenia działalności ^[1].

RYS. 1Cykl zarządzania podatnościami

Spis komponentów. Nie da się ocenić wpływu podatności bez wiedzy, co działa w systemie i w jakiej wersji. CERT Polska wskazuje, że aktualny SBOM (wykaz komponentów oprogramowania) pozwala szybko ocenić wpływ nowo ujawnionej podatności, przyspieszyć analizę ryzyka i lepiej zaplanować naprawę ^[3].

Pozyskanie informacji. CERT Polska zaleca systematyczne śledzenie informacji o podatnościach w komponentach własnych i zewnętrznych, w tym monitorowanie publicznych baz podatności i komunikatów producentów ^[3]. Podstawowym identyfikatorem jest CVE; CERT Polska od 2023 roku ma status CNA i publikuje wpisy CVE dla zgłaszanych mu podatności ^[3].

Ocena i priorytet. Samo znaczenie techniczne, mierzone zwykle skalą CVSS, nie wystarcza. CERT Polska podkreśla, że trzeba ustalić, czy podatność da się wykorzystać w praktyce i czy są przesłanki jej aktywnego wykorzystywania ^[3]. Temu służy katalog KEV prowadzony przez CISA. Agencja zaleca, by organizacje traktowały go jako dane wejściowe do własnych zasad priorytetyzacji ^[5]. Uzupełnieniem jest EPSS, czyli szacunek prawdopodobieństwa wykorzystania.

Usunięcie i weryfikacja. Docelowym rozwiązaniem jest łatka (patch). Gdy jej jeszcze nie ma albo nie można jej od razu wdrożyć, stosuje się rozwiązanie tymczasowe ^[2]. Ostatni krok to sprawdzenie, że poprawka rzeczywiście się zainstalowała; NIST włącza weryfikację instalacji do samej definicji procesu ^[1].

Sposoby postępowania

Nie każda podatność kończy się instalacją poprawki. Organizacja wybiera jedno z kilku działań, zależnie od dostępności łatki i znaczenia komponentu.

W WordPressie

Na typowej stronie WordPress źródłem podatności są przede wszystkim rozszerzenia. Patchstack w raporcie za pierwsze półrocze 2025 roku policzył 3044 podatności we wtyczkach, 386 w motywach i jedną w rdzeniu ^[7]. Według tego raportu 57,6% podatności mogła wykorzystać osoba z zewnątrz bez żadnego konta ^[7], czyli była to podatność wykorzystywana bez uwierzytelnienia. Dlatego proces dla strony WordPress zaczyna się od listy zainstalowanych wtyczek i motywów z numerami wersji; więcej o tych klasach błędów w hasłach podatność we wtyczce i podatność w motywie.

Rdzeń WordPressa udostępnia narzędzia do etapu usuwania. Od wersji 5.5 administrator może włączyć automatyczną aktualizację osobno dla każdej wtyczki i każdego motywu ^[6]. Domyślnie WordPress uruchamia automatyczne aktualizacje dwa razy dziennie i wysyła e-mail o udanej lub nieudanej próbie ^[6]. Dokumentacja zaleca, by przed włączeniem aktualizacji automatycznych zapewnić możliwość powrotu do poprzedniej wersji strony ^[6], czyli aktualną kopię zapasową (backup). Aktualizacje opierają się na zadaniach WP-Cron; ich działanie można sprawdzić w narzędziu Kondycja witryny ^[6].

Praktyczny zestaw dla pojedynczej strony obejmuje:

• spis wtyczek i motywów z wersjami, także nieaktywnych;
• śledzenie baz podatności dla ekosystemu WordPress i komunikatów producentów;
• szybką aktualizację, najlepiej po próbie w środowisku testowym;
• regułę WAF jako obejście, gdy poprawki jeszcze nie ma;
• usuwanie nieużywanych i porzuconych rozszerzeń;
• okresowe skanowanie podatności jako kontrolę, czy spis jest pełny.

Znaczenie

Czas ma tu podstawowe znaczenie. Podatność opublikowana, ale jeszcze niezałatana u danego użytkownika, to n-day: informacja o niej jest publiczna, więc atakujący nie musi jej sam odkrywać. Odmiennym przypadkiem jest zero-day, na który proces reaguje dopiero po ujawnieniu. Proces zarządzania podatnościami skraca okres, w którym znana podatność pozostaje otwarta.

NIST wiąże systematyczne łatanie z zapobieganiem włamaniom, wyciekom danych i przerwom w działaniu ^[1]. CERT Polska zaleca uzupełnianie śledzenia podatności regularnymi testami bezpieczeństwa, analizą logów i terminowym instalowaniem poprawek ^[3]. Zaleca też formalne wskazanie osoby lub zespołu odpowiedzialnego za odbiór zgłoszeń, ocenę ryzyka i koordynację napraw, także w niewielkich organizacjach ^[3].

Regulacje

Zarządzanie podatnościami staje się obowiązkiem prawnym. Akt o cyberodporności (Cyber Resilience Act, CRA) wymaga od producentów produktów z elementami cyfrowymi m.in. oceny ryzyka i wdrożenia procesu postępowania w przypadku wykrycia podatności ^[4]. Według CERT Polska przepisy o zgłaszaniu podatności i incydentów, czyli art. 14, stosuje się od 11 września 2026 roku, a pozostałe przepisy od 11 grudnia 2027 roku ^[4]. Okres wsparcia produktu ma wynosić co najmniej pięć lat, chyba że przewidywany okres użytkowania jest krótszy ^[4].

CERT Polska zaleca producentom publiczny kanał przyjmowania zgłoszeń i opublikowanie pliku security.txt ^[3]. Producent nie powinien wydawać wersji z nowymi funkcjami, jeśli wie o nierozwiązanej podatności wpływającej na jej bezpieczeństwo ^[3]. Obowiązki po stronie organizacji, które z oprogramowania korzystają, opisują hasła NIS2 i ustawa o krajowym systemie cyberbezpieczeństwa (KSC).