Число известных критических уязвимостей в открытом ПО выросло в пять раз

Аналитики платформы безопасной разработки CodeScoring подвели итоги исследования критических уязвимостей (CVSS 9,0 и выше) в открытом ПО за период с января по сентябрь 2026 года. По данным базы CodeScoring, за девять месяцев были опубликованы сведения о 3566 критических уязвимостях — в 4,9 раза больше, чем за аналогичный период прошлого года (723).

npm и Go: пяти- и шестикратный рост критических угроз

В отдельных экосистемах языков программирования темпы прироста оказались многократными:

• npm (каталог компонентов для JavaScript): число зарегистрированных критических уязвимостей увеличилось в 6,3 раза — с 89 до 562. Они затрагивают 39 127 стабильных версий пакетов против 3 844 годом ранее — рост в 10,2 раза.

• Go: число критических уязвимостей выросло в 5,1 раза — с 78 до 396. Они затрагивают 12 443 стабильные версии модулей против 5995 годом ранее — рост в 2,1 раза.

Для более чем двух третей критических уязвимостей 2026 года в оценках CVSS указана возможность сетевой атаки без предварительных прав доступа и действий пользователя. В таком сценарии злоумышленникам не требуется перехватывать учетные данные сотрудников или убеждать их открыть вредоносный файл. Непосредственной атаке подвергается само доступное по сети программное обеспечение. Таким образом, риски компрометации контура сохраняются, и компаниям следует усилить бдительность в отношении таких объектов защиты.

Наполнение баз данных уязвимостей продолжает ускоряться. По данным базы CodeScoring, только с 15 сентября по 15 октября 2026 года были опубликованы сведения о 4609 новых уникальных уязвимостях всех уровней критичности в открытых компонентах.

Влияние автоматизации и ИИ на обнаружение проблем

Эксперты CodeScoring связывают резкий рост числа зарегистрированных отчетов об уязвимостях прежде всего с более интенсивным поиском дефектов и расширением их учёта. Исследователи активно используют автоматический анализ и инструменты на базе искусственного интеллекта, а всё больше разработчиков системно раскрывают сведения о найденных дефектах.

Современные методы аудита позволяют эффективно выявлять ошибки в давно используемом программном коде. Поэтому сведения об уязвимостях могут появляться даже для проектов и библиотек, которые компании внедрили много лет назад и с тех пор не обновляли.

Артём Максимов, продуктовый аналитик CodeScoring, прокомментировал ситуацию так: «Организациям критически важно регулярно проверять состав своего ПО и отслеживать новые сведения об уязвимостях используемых компонентов. Количество критичных проблем растет, поэтому требуется оперативно менять подходы к отслеживанию известных угроз: контролировать их не только на уровне собранного вендорского ПО, но и на уровне применяемых в нем компонентов. В первую очередь необходимо устранять проблемы, которые затрагивают действующие внешние сервисы и создают прямой риск для непрерывности бизнеса».

Выстроить такой контроль помогает композиционный анализ программного обеспечения. В рамках его реализации необходимо автоматически отслеживать состав приложений, выявлять уязвимые зависимости и определять версии компонентов, в которых проблемы устранены.