Перейти к содержимому
Арсон тех

Мониторинг уязвимостей

Узнаём об эксплуатируемых уязвимостях раньше, чем о них узнаете вы

Из десятков тысяч уязвимостей в год атакуют лишь малую часть. Мы следим именно за ними и, если одна касается вашего сайта или сервера, сообщаем простыми словами: чем грозит, что сделать и до какого числа. А если некому закрыть - закрываем сами, по фиксированной цене. До утечки данных клиентов, а не после штрафа.
Проверить мой домен бесплатноПосмотреть пример отчёта

Контур 0-day

Как это работает

  1. 01

    Фиды храним у себя вместо облака

    CISA KEV, окно NVD, экспорт Exploit-DB и поиск PoC на GitHub синхронизируются в локальное хранилище. Данные клиентов не уходят в чужие сервисы.

  2. 02

    Сопоставление со стеком

    По баннерам Server / X-Powered-By и объявленному стеку стенда берём не «все CVE вообще», а только те, что касаются вашей инфраструктуры. Отдельно отмечаем свежие записи KEV и метку ransomware.

  3. 03

    Тревога и действия

    Новая запись KEV со сроком по BOD 22-01 или свежий PoC на GitHub - и вы получаете дайджест: что случилось, что под ударом, что сделать. С CVSS, EPSS и ссылками на PoC и advisory.

  4. 04

    Закрываем сами

    Не нужно искать подрядчика: та же команда, которая нашла уязвимость, устраняет её по фиксированной цене и перепроверяет, что дыра закрыта.

Что входит

Два формата

Начните с бесплатной проверки одного домена. Если стек живой и обновляется, подключайте мониторинг.

Экспресс-проверка

бесплатно

Один домен, который вы подтвердили

  • Безопасные проверки без отправки payload: баннеры, TLS, HSTS, CSP, cookies, раскрытие версий, сигнатуры .git и .env
  • Сопоставление вашей инфраструктуры с KEV, NVD, Exploit-DB и архивом PoC
  • Список потенциальных CVE с приоритетом: CVSS, EPSS, метка ransomware
  • Простыми словами: что закрыть прямо сейчас и чем грозит промедление
  • Смета на устранение: можем закрыть найденное сами
Проверить домен

CASM-подписка

от 30 000 ₽/мес

Постоянный мониторинг

  • Резюме для руководителя по каждой тревоге: чем грозит, что сделать, до какого числа
  • До 20 стендов, список продуктов (watch_products) по каждому
  • Тревога в течение 24 часов после добавления CVE в KEV
  • Ежемесячный дайджест в HTML или Markdown для CTO и безопасника
  • Устранение найденного нашей командой по фиксированной цене и повторная проверка
  • Общий чат с вашей командой и короткие консультации
  • Цена фиксирована в пределах согласованного числа стендов
Обсудить подписку

Нашли - закрыли

Большинство сервисов присылают отчёт, и дальше вы один на один со списком уязвимостей. Мы та же команда, которая устраняет найденное.

  • Фиксированная ценаСмета до начала работ, без почасовой оплаты.
  • Без передачи подрядчикамЧинит тот, кто нашёл: контекст не теряется.
  • ПерепроверкаПосле исправления проверяем, что дыра закрыта.

В деньгах

Сколько стоит пропущенная уязвимость

Взлом сайта с базой клиентов - это утечка персональных данных. Штрафы по КоАП для организации:

3–15 млн ₽
первая утечка

Зависит от числа пострадавших, ч. 12–14 ст. 13.11 КоАП.

до 3 млн ₽
молчание

Если не уведомить Роскомнадзор об утечке в течение 24 часов.

1–3% выручки
повторная утечка

Не меньше 20 млн ₽, если утечка повторилась в течение года.

Год подписки - от 360 000 ₽, в 8 раз меньше минимального штрафа за одну утечку. Простой сайта и восстановление после шифровальщика сюда не входят.

Все штрафы по 152-ФЗ в 2026 году

Чем мы отличаемся от типового вендора

  • Эксплуатируемые CVE, а не 25 000 за год

    Отсекаем шум метками KEV, NVD, EPSS и ransomware. В отчёт попадает то, что атакуют сейчас.

  • Находки с обоснованием

    Помечаем, где нужна ручная проверка. Не пишем «всё плохо» без доказательств.

  • Юридическая рамка вшита в продукт

    Проверяем только стенды, которые вы разрешили. Список задаётся в проверенной конфигурации, чужой домен туда не попадёт.

  • Данные не улетают в облака

    Фиды хранятся в локальном зеркале, корреляция идёт у нас. Отчёты не отправляются в сторонние сервисы.

Пример

Так выглядит дайджест

Реальная тревога от 27.10.2026. Сверху - резюме для руководителя, его пишет наш инженер. Под ним - технические детали из выгрузки для вашего администратора. Имя стенда заменено.

Тревога по вашим стендам · 27.10.2026, 06:37 UTC

Окно новых записей KEV: 30 дн. · Новых в каталоге за окно: 32

  1. до 29 октября, 2 дня

    В PHP, на котором работает сайт, нашли ошибку, которую уже используют для атак

    CVE-2026-109618 · стенд shop-prod

    Чем грозит
    Возможен захват сервера, а вместе с ним доступ к базе клиентов и заказам. Это утечка персональных данных: штраф от 3 млн ₽. Разборы ошибки уже в открытом доступе, значит, их видят и атакующие.
    Что сделать
    Обновить PHP на сервере до версии с исправлением. Если сразу нельзя - включить временную защиту из бюллетеня производителя.

    Можем закрыть сами. Обновим PHP сами в согласованное окно, проверим, что сайт работает и обе ошибки закрыты. Фиксированная цена до начала работ.

    Детали для технической команды
    CVE
    CVE-2026-109618 - PHP Memory Corruption Vulnerabilityновая в KEV
    Продукт
    PHP Group PHP · стенд shop-prod (стек: nginx, php)
    CVSS / EPSS
    - / - (нет данных NVD на момент выгрузки)
    Срок по BOD 22-01
    2026-10-29 · В KEV с 2026-10-26
    Рекомендация CISA (оригинал)
    Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 guidance. Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
    PoC
  2. до 29 октября, 2 дня

    Вторая ошибка в том же PHP, закрывается тем же обновлением

    CVE-2026-109619 · стенд shop-prod

    Чем грозит
    Та же цепочка атаки, что и выше. Публичные инструменты проверяют обе ошибки сразу.
    Что сделать
    Ничего сверх обновления выше. После него проверим, что обе ошибки закрыты.

    Можем закрыть сами. Входит в то же обновление, доплаты нет.

    Детали для технической команды
    CVE
    CVE-2026-109619 - PHP Stale Internal Request-State Vulnerabilityновая в KEV
    Продукт
    PHP Group PHP · стенд shop-prod (стек: nginx, php)
    CVSS / EPSS
    - / - (нет данных NVD на момент выгрузки)
    Срок по BOD 22-01
    2026-10-29 · В KEV с 2026-10-26
    Рекомендация CISA (оригинал)
    Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 guidance. Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
    PoC
  3. срок истёк в 2024 году - проверить в первую очередь[RANSOMWARE]

    Старая уязвимость PHP, которой пользуются вымогатели

    CVE-2024-4577 · стенд shop-prod

    Чем грозит
    Её применяют группировки, которые шифруют данные и требуют выкуп. Итог - простой сайта и восстановление из резервных копий.
    Что сделать
    Проверить версию PHP и режим запуска. Совпадение найдено по названию продукта: если версия уже исправлена, риска нет.

    Можем закрыть сами. Сверим версию сами. Если уязвима, закроем вместе с обновлением выше.

    Детали для технической команды
    CVE
    CVE-2024-4577 - PHP-CGI OS Command Injection Vulnerabilityв каталоге давно
    Продукт
    PHP Group PHP · стенд shop-prod (стек: nginx, php)
    CVSS / EPSS
    - / - (нет данных NVD на момент выгрузки)
    Срок по BOD 22-01
    2024-07-03 · В KEV с 2024-06-12
    Рекомендация CISA (оригинал)
    Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
  4. срок истёк в 2022 году - проверить в первую очередь[RANSOMWARE]

    Известная уязвимость связки nginx и PHP-FPM, тоже в арсенале вымогателей

    CVE-2019-11043 · стенд shop-prod

    Чем грозит
    При определённой настройке nginx позволяет выполнить чужой код на сервере.
    Что сделать
    Обновить PHP-FPM и проверить конфигурацию nginx. Как и выше, сначала сверяем версию.

    Можем закрыть сами. Проверим и при необходимости поправим конфигурацию nginx сами.

    Детали для технической команды
    CVE
    CVE-2019-11043 - PHP FastCGI Process Manager (FPM) Buffer Overflow Vulnerabilityв каталоге давно
    Продукт
    PHP FastCGI Process Manager (FPM) · стенд shop-prod (стек: nginx, php)
    CVSS / EPSS
    - / - (нет данных NVD на момент выгрузки)
    Срок по BOD 22-01
    2022-04-15 · В KEV с 2022-03-25
    Рекомендация CISA (оригинал)
    Apply updates per vendor instructions.

Границы

  • Дайджест список кандидатов и приоритетов
  • Совпадение по названию продукта; версии могут отличаться - сверяйте с advisory.
  • Эксплуатация не запускается: дайджест не обращается к стенду с атакующими запросами.
Исходный HTML-отчёт

Бесплатно

Проверить мой домен

Один домен, безопасные проверки, отчёт в течение 48 часов. Если найдём критичное, приложим смету на устранение.

Отправка = согласие на проверку именно этого домена. Это обычные HTTP-запросы, как от браузера пользователя. Никаких payload и эксплойтов. Отчёт придёт в течение 48 часов.

Кому подходит

Студия веб-разработки

Десятки клиентских сайтов на похожем стеке. Одна CVE в CMS - и под ударом все.

Хостинг-провайдер

Узнать о проблеме в nginx или PHP раньше клиентов и закрыть её централизованно.

E-commerce на CMS

Платежи и персональные данные покупателей. Срок на патч считается днями.

Готовим к публикации open-source CLI на GitHub

Частые вопросы

Отчёты носят информационный характер и не являются гарантией защищённости.