CodeScoring: число критических уязвимостей в open source выросло в 4,9 раза

В Go критических уязвимостей стало в 5,1 раза больше: 396 вместо 78. Под их действие попадают 12 443 стабильные версии модулей против 5 995 год назад — рост в 2,1 раза.

У более чем двух третей критических уязвимостей 2026 года оценка CVSS предполагает сетевую атаку без предварительных прав доступа и без действий пользователя. Злоумышленнику не нужно красть учётные данные сотрудников или убеждать их открыть вредоносный файл: удару подвергается само доступное по сети ПО. Риск компрометации контура сохраняется, поэтому компаниям стоит быть внимательнее к таким объектам. Базы уязвимостей продолжают быстро пополняться: с 15 сентября по 15 октября 2026 года опубликованы данные о 4 609 новых уникальных уязвимостях всех уровней критичности в открытых компонентах.

Роль автоматизации и ИИ

В CodeScoring связывают скачок прежде всего с более активным поиском дефектов и расширением учёта. Исследователи используют автоматический анализ и инструменты на основе ИИ, а разработчики всё чаще системно раскрывают найденные ошибки. Современные методы аудита хорошо находят проблемы в давно применяемом коде, поэтому сведения об уязвимостях появляются и для библиотек, внедрённых много лет назад и не обновлявшихся.

Продуктовый аналитик CodeScoring Артём Максимов призывает организации регулярно проверять состав своего ПО и следить за новыми сведениями об уязвимостях компонентов — не только в готовых продуктах вендоров, но и на уровне их составляющих. В первую очередь, по его словам, нужно закрывать проблемы в действующих внешних сервисах, создающие прямой риск для непрерывности бизнеса. Помогает в этом композиционный анализ ПО: он автоматически отслеживает состав приложений, находит уязвимые зависимости и определяет версии, где проблемы устранены.