Dwa źródła policzone tego samego ranka

27 lipca o siódmej wieczorem CISA opublikowała wersję 2026.07.27 swojego katalogu znanych wykorzystywanych podatności. Doszły dwa wpisy: luka w Fortinet FortiOS oraz wstrzyknięcie poleceń w VeloCloud Orchestrator firmy Arista. Katalog liczył wtedy 1 655 pozycji, czyli wszystko, co agencja zdołała potwierdzić jako atakowane od otwarcia listy w 2021 roku.

Następnego ranka odpytaliśmy drugie źródło. National Vulnerability Database, prowadzona przez NIST, podaje dla dowolnego zadanego okresu, ile podatności nosi datę publikacji mieszczącą się w jego granicach. Dla przedziału od 1 stycznia do 28 lipca 2026 odpowiedź brzmi 45 601. Dla tego samego przedziału w 2025 roku jest to 28 032. Dla 2024 było to 23 486.

Obie liczby są jawne, obie są darmowe i prawie nikt nie zestawia ich obok siebie. Zestawione mówią coś, co tegotygodniowe doniesienia całkowicie pominęły.

To nie jest podwojenie

Zacznijmy od twierdzenia, które zawędrowało najdalej. Od poniedziałku krąży liczba około 45 000 luk wraz z prognozą, że rok podwoi poprzedni. Pierwsza połowa jest prawdziwa. Druga nie.

209 dni 2026 roku przyniosło 45 601 opublikowanych podatności. Poprowadzone w tym samym tempie do 31 grudnia dają blisko 79 600. Cały 2025 rok zamknął się liczbą 49 972. To mnożnik około 1,6, a nie 2.

Rozróżnienie nie jest czepianiem się, bo mniejsza liczba i tak pozostaje nadzwyczajna. Wzrost o 60 procent w ciągu jednego roku jest najostrzejszy w całym zapisie, a rok 2026 przekroczył już 91 procent tego, co dał rok 2025, mając wciąż pięć miesięcy przed sobą. Upieranie się przy dokładnej liczbie ma znaczenie, ponieważ liczba zawyżona zaprasza do złej reakcji. Podwojenie brzmi jak sytuacja nadzwyczajna, która usprawiedliwia podwojenie zespołu. 1,6 raza brzmi tak, jak jest naprawdę: to strukturalne przesunięcie po stronie podaży, którego żadna rekrutacja nie wchłonie.

Krzywa wykorzystania za nią nie poszła

Oto liczba, która powinna rządzić decyzją. Spośród 45 601 podatności opublikowanych w tym roku 171 trafiło do katalogu potwierdzonego wykorzystania. Zaledwie sto wpisów w całym katalogu nosi w ogóle oznaczenie z 2026 roku.

Ten sam rachunek po stronie wykorzystania. 171 wpisów w ciągu 209 dni daje tempo około 299 rocznie. CISA dopisała 245 w całym 2025 roku. Gdy więc publikacje rosły o 63 procent, potwierdzone wykorzystanie urosło o mniej więcej jedną piątą.

Obie krzywe się rozeszły, a odstęp poszerza się z każdym miesiącem. Cokolwiek napędza falę publikacji, a dostawcy dość otwarcie przyznają, że duży udział ma w niej zautomatyzowane wyszukiwanie, produkuje ona znaleziska szybciej, niż ktokolwiek zamienia je w ataki. Opublikowana liczba przestała być przybliżeniem pracy, która stoi przed wami. Mierzy teraz, ile badań branża jest w stanie udźwignąć, a to inne pytanie z inną odpowiedzią.

Jedno uczciwe zastrzeżenie, bo wyostrza ono zalecenie, zamiast je osłabiać. Nieobecność w katalogu nie dowodzi, że nikt czegoś nie wykorzystuje. Lista rejestruje to, co agencja zdoła potwierdzić, a potwierdzenie przychodzi z opóźnieniem. To argument za traktowaniem dowodu wykorzystania jako najsilniejszego dostępnego sygnału, a nie za czytaniem jego braku jako rozgrzeszenia.

Czego regulacja naprawdę wymaga

Niemal każda polityka zarządzania podatnościami napisana w Europie w ostatnich trzech latach zawiera zdanie w tej formie: wszystko od 7,0 wzwyż usuwamy w ciągu trzydziestu dni. Kto napisał to zdanie w 2023 roku, zgodził się na obciążenie, które od tamtej pory urosło o dwie trzecie, nie pytając go o zdanie.

Warto sprawdzić, skąd to zdanie się wzięło, bo nie wstawił go regulator. NIS2 umieszcza obsługę i ujawnianie podatności wśród środków zarządzania ryzykiem, które musi stosować podmiot objęty dyrektywą, i wiąże cały obowiązek z proporcjonalnością wobec rzeczywistego ryzyka. Tekst nie wymienia żadnego systemu punktacji ani nie ustala progu. DORA postępuje tak samo wobec podmiotów finansowych: priorytet naprawy według krytyczności tego, co zostało dotknięte, bez żadnej stałej wartości zapisanej gdziekolwiek.

Próg był zatem wynalazkiem domowym, przyjętym dlatego, że dawał się skontrolować. Skontrolować daje się nadal. Przestał być po prostu do udźwignięcia, a żaden z tych dwóch aktów nigdy o niego nie prosił.

Przepiszcie normę, a nie etaty

Praktyczna zmiana jest niewielka i mieści się w tym kwartale. Postawcie potwierdzone wykorzystanie na czele kolejki, z zegarem liczonym w dniach. Cała reszta zachowuje porządek według istotności, ale traci automatyczny termin i jest obsługiwana w zwykłym rytmie utrzymania, na tych systemach, które naprawdę się u was liczą.

Dwa dodatkowe kroki sprawiają, że da się to obronić przed audytorem. Zapiszcie, które zewnętrzne źródło traktujecie jako miarodajne i dlaczego, żeby priorytetyzacja była udokumentowaną metodą, a nie wyczuciem. I odnotujcie decyzję o ekspozycji tych systemów, które odkładacie, bo po incydencie organ pyta o to, czy istniał uzasadniony proces, a nie o to, czy trafiliście w liczbę.

W najbliższych osiemnastu miesiącach ciężko będzie tym zespołom, których polityka jest rachunkowo niewykonalna, a których audytorzy jeszcze tego nie zauważyli. Liczba będzie dalej rosła. Zbiór tego, co naprawdę jest używane przeciwko wam, nie rośnie nawet w przybliżeniu w tym samym tempie, a jest publikowany co tydzień za darmo.

Czytaj dalej: Sandbox zaatakowano miesiąc przed ostrzeżeniem  |  Jedna wiadomość sięgnęła kluczy SSH