Rapid7: Den traditionelle patchcyklus er brudt sammen

Kunstig intelligens ændrer hastigheden, hvormed sårbarheder opdages, analyseres og udnyttes. En ny analyse fra Rapid7 peger på, at sikkerhedsteams i stigende grad presses af en voksende strøm af sårbarheder og angribere, der reagerer hurtigere end tidligere. 

Det står skrevet i Security Week, der dermed gentager historien fra talrige rapporter i det sidste ½ til hele år: At patche hurtigere er ikke længere nok. 

Rapporten beskriver udviklingen som en kompression af tiden mellem offentliggørelse og potentiel udnyttelse. Samtidig stiger antallet af nye sårbarheder markant.

I andet kvartal 2026 blev der registreret 8.539 kritiske eller højrisiko-sårbarheder med CVSS-score mellem 7 og 10. Det er en fordobling sammenlignet med de 4.268, der blev registreret i samme kvartal året før. Antallet af nye sårbarheder, der faktisk blev observeret udnyttet, steg langt mindre, men udviklingen understreger ifølge Rapid7 den voksende belastning på forsvarssiden.

AI skaber og finder fejl

Ifølge Rapid7 skyldes udviklingen blandt andet, at AI i stigende grad bruges både til softwareudvikling og sikkerhedsforskning. Nye applikationer lanceres i højt tempo, ofte med nye sårbarheder til følge.

Virksomheden peger samtidig på fremkomsten af såkaldt "vibe coding", hvor udviklere i høj grad læner sig op ad AI-genereret kode. Her risikerer ældre fejl og usikre mønstre at blive genbrugt i nye projekter, fordi modellerne bygger videre på eksisterende kodeeksempler.

Dermed opstår et selvforstærkende kredsløb: AI hjælper med at udvikle software hurtigere, men også med at finde fejlene hurtigere.

Samtidig bliver forsvarernes opgave mere kompleks. Angribere skal blot finde én vej ind, mens organisationer skal beskytte et voksende antal endpoints, cloudtjenester, API'er og leverandørafhængigheder.

Eksponering trumfer alvorlighed

Et af rapportens hovedbudskaber er, at CVSS-score ikke længere bør være det primære prioriteringsværktøj.

Rapid7 argumenterer for, at eksponering ofte er vigtigere end den teoretiske alvorlighed. En kritisk sårbarhed i et isoleret system kan udgøre en mindre risiko end en moderat sårbarhed i et interneteksponeret system med adgang til centrale ressourcer.

Rapporten fremhæver også flere såkaldte "Holy Grail"-sårbarheder, som kan udnyttes uden brugerinteraktion eller gyldige legitimationsoplysninger. I andet kvartal 2026 stod denne kategori for 25 af de 40 observerede udnyttede sårbarheder.

Rapporten peger på fortsat aktivitet fra Kina, Rusland, Iran og Nordkorea. Mens statslige aktører typisk fokuserer på langsigtet efterretning og vedvarende adgang, søger cyberkriminelle primært økonomisk gevinst.

Ransomware er fortsat blandt de mest anvendte metoder. USA var i andet kvartal 2026 det klart mest ramte land, og blandt de mest aktive grupper nævner Rapid7 Qilin, The Gentlemen, DragonForce, Akira og LockBit.

Forretningsservice, sundhed, produktion, teknologi og byggebranchen var blandt de hyppigst ramte sektorer.

Patching alene er ikke længere nok

Rapid7 konkluderer, at organisationer ikke længere kan forvente at "patche sig ud af problemerne".

Når antallet af sårbarheder vokser hurtigere, end de kan håndteres, bliver prioritering afgørende. Fokus bør derfor rettes mod de systemer og tjenester, som reelt er eksponeret mod internettet eller på anden måde tilgængelige for angribere.

Budskabet er enkelt: Problemet er ikke kun, hvor alvorlig en sårbarhed er, men hvor hurtigt den kan omsættes til et angreb. Det gør eksponering til en vigtigere risikofaktor end CVSS-scoren alene.