- Znaczenie
- Pojedyncza, technicznie wykorzystywalna luka
- Oznaczenie
- Identyfikator CVE, wskaźniki CVSS i EPSS
- Wykrywanie
- Skaner podatności & porównanie z SBOM
- Postępowanie
- SLA na poprawki, hartowanie, obejście
- Powiązane
- Podatności, IoC
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest podatność?
Termin Podatność (ang. vulnerability) oznacza pojedynczą, technicznie wykorzystywalną lukę – na przykład przepełnienie bufora, niebezpieczną deserializację albo podatną zależność w bibliotece oprogramowania. Ten artykuł opisuje stronę techniczną: jak lukę się identyfikuje, ocenia i usuwa w całym cyklu jej życia. Nadrzędne, organizacyjne spojrzenie – proces, odpowiedzialność i dowód na potrzeby audytu – opisuje artykuł o pojęciu, jakim są Podatności. Znane luki otrzymują jednoznaczny identyfikator CVE (Common Vulnerabilities and Exposures) i są klasyfikowane według wagi wskaźnikiem CVSS w skali od 0 do 10. Uzupełniająco wskaźnik EPSS szacuje prawdopodobieństwo, że luka rzeczywiście zostanie wykorzystana – to cenny sygnał przy ustalaniu priorytetów.
Punktacja: CVE, CVSS i EPSS
Wartość CVSS opisuje teoretyczny potencjał szkody, ale nie mówi nic o tym, czy luka jest aktywnie atakowana. Właśnie tu wkracza EPSS: prognozuje prawdopodobieństwo wykorzystania w ciągu najbliższych 30 dni. Jeśli luka figuruje dodatkowo w katalogu KEV (Known Exploited Vulnerabilities), jest dowodnie w użyciu i trafia na sam szczyt listy. Dopiero połączenie wagi (CVSS), prawdopodobieństwa (EPSS) i dostępności systemu daje wiarygodną priorytetyzację techniczną.
Znane luki a zero-daye
Dla większości skatalogowanych podatności CVE poprawka już istnieje – pozostają groźne tylko dlatego, że aktualizacji się nie instaluje. Inaczej jest z „zero-dayami”: są wykorzystywane, zanim producent dostarczy poprawkę. Dopóki poprawki nie ma, liczą się wyłącznie środki kompensujące – wirtualne łatanie regułą WAF, dodatkowe filtry sieciowe, hartowanie konfiguracji albo tymczasowe wyłączenie dotkniętej usługi.
Techniczny proces postępowania
Narzędzia automatyzują cykl życia luki: skanery podatności i narzędzia SCA nieprzerwanie porównują systemy, kontenery i zależności z bazami CVE, a SBOM (Software Bill of Materials) w ogóle uwidacznia podatne komponenty. Z wyniku wynika SLA na poprawkę – wiążące okno czasowe zależne od krytyczności. O trwającym już wykorzystaniu luki świadczą Wskaźniki kompromitacji.
- Identyfikacja: Uruchomienie skanera, porównanie z SBOM i import kanałów danych (NVD, KEV, komunikaty producentów).
- Ocena: Zważenie wagi CVSS wraz z prawdopodobieństwem EPSS i faktyczną dostępnością systemu.
- Postępowanie: Instalacja poprawki w ramach SLA, w przeciwnym razie hartowanie albo wirtualne łatanie jako obejście.
- Weryfikacja: Ponowne skanowanie, które nie zgłasza już zamkniętej luki.
- Dokumentacja: Utrwalenie znacznika czasu, zastosowanego środka i dowodu z ponownego skanowania.
SLA na poprawki w praktyce
Sprawdzają się stopniowane terminy: luki krytyczne (CVSS 9,0–10,0) w ciągu 24 do 72 godzin, wysokie w ciągu siedmiu dni, średnie w ciągu 30 dni. Przykład: Skaner podatności zgłasza CVE-2026-XXXX z oceną CVSS 9,8 i wysoką wartością EPSS w bibliotece publicznie dostępnego portalu klienta. Ponieważ waga, prawdopodobieństwo i ekspozycja zbiegają się, obowiązuje 24-godzinne SLA: zespół wgrywa awaryjną aktualizację, sprawdza logi pod kątem IoC i potwierdza ponownym skanowaniem, że luka jest zamknięta – dzięki temu nie powstaje podlegający zgłoszeniu incydent poważny. Ta techniczna dyscyplina należy do obszarów, jakimi są Zarządzanie ryzykiem oraz Cyberhigiena, których NIS2 wymaga w art. 21; w Polsce dyrektywę wdraża ustawa o krajowym systemie cyberbezpieczeństwa, obowiązująca od 3 kwietnia 2026 r.
Źródło uzupełniające: ENISA – Agencja Unii Europejskiej ds. Cyberbezpieczeństwa
Najczęstsze pytania
Czym jest podatność?
Podatność (ang. vulnerability) to pojedyncza, technicznie wykorzystywalna luka – na przykład przepełnienie bufora albo podatna zależność w bibliotece oprogramowania. Znane luki otrzymują jednoznaczny identyfikator CVE i są klasyfikowane według wagi wskaźnikiem CVSS w skali od 0 do 10. Uzupełniający wskaźnik EPSS szacuje prawdopodobieństwo, że luka rzeczywiście zostanie wykorzystana.
Czym jest zero-day?
Zero-day to luka wykorzystywana już wtedy, gdy producent nie udostępnił jeszcze poprawki. Dla większości skatalogowanych podatności CVE poprawka natomiast już istnieje. Ponieważ przy zero-dayu nie ma aktualizacji bezpieczeństwa, takie luki są szczególnie groźne; liczą się wyłącznie środki kompensujące, takie jak wirtualne łatanie regułą WAF, dodatkowe filtry sieciowe, hartowanie konfiguracji albo tymczasowe wyłączenie dotkniętej usługi.
Jak zarządzać podatnościami?
W zarządzaniu podatnościami luki są systematycznie wykrywane, oceniane na podstawie wagi CVSS, prawdopodobieństwa EPSS i faktycznej dostępności systemu, priorytetyzowane oraz zamykane poprawkami albo hartowaniem. Sprawdzają się stopniowane terminy instalacji poprawek: luki krytyczne w ciągu 24 do 72 godzin, wysokie w ciągu siedmiu dni, średnie w ciągu 30 dni. Następnie ponowne skanowanie sprawdza, czy usunięcie było skuteczne, i dokumentuje je jako dowód na potrzeby NIS2.