Критических уязвимостей в открытом ПО за год стало почти в 5 раз больше
3 мин
82
2
В январе–сентябре 2026 года число известных критических уязвимостей в открытом ПО выросло в 4,9 раза по сравнению с тем же периодом 2025 года. По данным платформы безопасной разработки CodeScoring, за девять месяцев были опубликованы сведения о 3 566 таких проблемах против 723 годом ранее. Аналитики платформы включили в исследование уязвимости с оценкой от 9,0 из 10 баллов по CVSS.
В каталоге компонентов для JavaScript npm число критических уязвимостей увеличилось в 6,3 раза — с 89 до 562. При этом затронутых стабильных версий пакетов стало в 10,2 раза больше: 39 127 вместо 3 844. В Go количество критических уязвимостей достигло 396 против 78 годом ранее, то есть показало пятикратный рост. Эти проблемы затрагивают 12 443 стабильные версии модулей против 5 995 за тот же период прошлого года.
Оценки CVSS двух третей критических уязвимостей 2026 года указывают на возможность атаки по сети без получения прав доступа и каких-либо других предварительных действий пользователя. В таких случаях злоумышленникам не нужно перехватывать учётные данные сотрудников или убеждать их открыть вредоносный файл. Целью атаки становится само доступное по сети ПО.
Одновременно ускоряется пополнение баз уязвимостей. Только с 15 сентября по 15 октября 2026 года в каталоге CodeScoring появились сведения о 4 609 новых уникальных проблемах в открытых компонентах. Этот показатель охватывает все уровни риска, а не только критические уязвимости.
Эксперты CodeScoring связывают резкий рост числа сообщений с более активным поиском ошибок и их полным учётом. Исследователи используют автоматический анализ и инструменты на базе ИИ. Всё больше разработчиков также регулярно раскрывают сведения о найденных дефектах. Такие методы позволяют находить ошибки и в давно используемом коде. Поэтому новые сообщения могут касаться проектов и библиотек, внедрённых много лет назад. Отсутствие обновлений за это время не исключает обнаружения уязвимостей.
