CodeScoring: число уязвимостей в открытом ПО выросло в пять раз

Аналитики платформы безопасной разработки CodeScoring подвели итоги исследования критических уязвимостей с оценкой CVSS 9,0 и выше в открытом программном обеспечении за период с января по сентябрь 2026 года. По данным внутренней базы компании, за девять месяцев были опубликованы сведения о 3 566 критических уязвимостях, что в 4,9 раза больше по сравнению с 723 аналогичными случаями за тот же период прошлого года.

• За девять месяцев 2026 года зафиксировано 3 566 критических уязвимостей в открытом ПО
• В экосистеме npm число уязвимостей выросло в 6,3 раза, а в Go — в 5,1 раза
• Более чем для двух третей уязвимостей характерна возможность сетевой атаки без прав
• Главные причины роста — автоматизация поиска, использование ИИ и прозрачность разработчиков

Рост угроз в экосистемах npm и Go В отдельных экосистемах языков программирования темпы прироста проблем оказались многократными. В каталоге компонентов для JavaScript под названием npm число зарегистрированных критических уязвимостей увеличилось в 6,3 раза, достигнув 562 записей против 89 годом ранее. При этом выявленные проблемы затронули 39 127 стабильных версий пакетов, показав десятикратный рост по сравнению с 3 844 версиями в прошлом году. В экосистеме языка Go ситуация схожая: число критических уязвимостей выросло в 5,1 раза с 78 до 396 случаев. Они затронули 12 443 стабильные версии модулей, увеличившись в 2,1 раза. Исследователи отмечают, что наполнение баз данных уязвимостей продолжает стремительно ускоряться по всему миру.

Сетевые атаки и причины масштабного роста Для более чем двух третей критических уязвимостей текущего года в оценках CVSS указана возможность сетевой атаки без предварительных прав доступа и действий пользователя. Злоумышленникам не нужно похищать учетные записи или убеждать сотрудников открывать файлы, поскольку атаке подвергается само доступное по сети ПО. Риски компрометации контура остаются крайне высокими. Эксперты связывают резкий рост числа отчетов об уязвимостях с более интенсивным поиском дефектов и расширением их учета. Исследователи активно применяют автоматический анализ и инструменты на базе искусственного интеллекта, а разработчики начинают системно раскрывать сведения о найденных ошибках в старом коде, который организации не обновляли годами.

Рекомендации для бизнеса и обеспечение безопасности Организациям критически важно регулярно проверять состав своего ПО и отслеживать новые сведения об уязвимостях компонентов. Продуктовый аналитик CodeScoring Артём Максимов подчеркивает необходимость оперативно менять подходы к контролю угроз не только на уровне собранного вендорского софта, но и на уровне внутренних зависимостей. Для выстраивания такого контроля эксперты рекомендуют использовать композиционный анализ программного обеспечения. Данный метод позволяет автоматически отслеживать состав приложений, выявлять уязвимые зависимости и своевременно определять безопасные версии компонентов для защиты бизнеса.