Аналитики платформы безопасной разработки CodeScoring подвели итоги исследования критических уязвимостей (CVSS 9,0 и выше) в открытом ПО за период с января по сентябрь 2026 года. По данным базы CodeScoring, за девять месяцев были опубликованы сведения о 3 566 критических уязвимостях — в 4,9 раза больше, чем за аналогичный период прошлого года (723).
npm и Go: пяти- и шестикратный рост критических угроз
В отдельных экосистемах языков программирования темпы прироста оказались многократными:
- npm (каталог компонентов для JavaScript): число зарегистрированных критических уязвимостей увеличилось в 6,3 раза — с 89 до 562. Они затрагивают 39 127 стабильных версий пакетов против 3 844 годом ранее — рост в 10,2 раза.
- Go: число критических уязвимостей выросло в 5,1 раза — с 78 до 396. Они затрагивают 12 443 стабильные версии модулей против 5 995 годом ранее — рост в 2,1 раза.
Для более чем двух третей критических уязвимостей 2026 года в оценках CVSS указана возможность сетевой атаки без предварительных прав доступа и действий пользователя. В таком сценарии злоумышленникам не требуется перехватывать учетные данные сотрудников или убеждать их открыть вредоносный файл. Непосредственной атаке подвергается само доступное по сети программное обеспечение. Таким образом, риски компрометации контура сохраняются, и компаниям следует усилить бдительность в отношении таких объектов защиты.
Наполнение баз данных уязвимостей продолжает ускоряться. По данным базы CodeScoring, только с 15 сентября по 15 октября 2026 года были опубликованы сведения о 4 609 новых уникальных уязвимостях всех уровней критичности в открытых компонентах.
Влияние автоматизации и ИИ на обнаружение проблем
Эксперты CodeScoring связывают резкий рост числа зарегистрированных отчетов об уязвимостях прежде всего с более интенсивным поиском дефектов и расширением их учета. Исследователи активно используют автоматический анализ и инструменты на базе искусственного интеллекта, а все больше разработчиков системно раскрывают сведения о найденных дефектах.
Современные методы аудита позволяют эффективно выявлять ошибки в давно используемом программном коде. Поэтому сведения об уязвимостях могут появляться даже для проектов и библиотек, которые компании внедрили много лет назад и с тех пор не обновляли.
«Организациям критически важно регулярно проверять состав своего ПО и отслеживать новые сведения об уязвимостях используемых компонентов. Количество критичных проблем растет, поэтому требуется оперативно менять подходы к отслеживанию известных угроз: контролировать их не только на уровне собранного вендорского ПО, но и на уровне применяемых в нем компонентов. В первую очередь необходимо устранять проблемы, которые затрагивают действующие внешние сервисы и создают прямой риск для непрерывности бизнеса».
Артем Максимов, продуктовый аналитик CodeScoring
Выстроить такой контроль помогает композиционный анализ программного обеспечения. В рамках его реализации необходимо автоматически отслеживать состав приложений, выявлять уязвимые зависимости и определять версии компонентов, в которых проблемы устранены.