Критических уязвимостей в открытом ПО стало в 5 раз больше

За девять месяцев 2026 года аналитики платформы безопасной разработки CodeScoring зафиксировали 3 566 критических уязвимостей в открытом программном обеспечении. Этот показатель в 4,9 раза превышает данные за аналогичный период 2025 года, когда было опубликовано 723 критических уязвимости. База данных CodeScoring пополнилась сведениями о 4 609 новых уникальных уязвимостях всех уровней критичности в открытых компонентах только за период с 15 сентября по 15 октября 2026 года.

Открытое ПО включает компоненты для JavaScript и модули для Go

В экосистеме npm, каталоге компонентов для JavaScript, число зарегистрированных критических уязвимостей выросло в 6,3 раза. С 89 уязвимостей в 2025 году показатель увеличился до 562 в 2026 году. Эти уязвимости затронули 39 127 стабильных версий пакетов, что в 10,2 раза больше, чем 3 844 версии годом ранее. В экосистеме Go число критических уязвимостей увеличилось в 5,1 раза, с 78 до 396. Количество затронутых стабильных версий модулей выросло с 5 995 до 12 443, показав рост в 2,1 раза.

Сетевые атаки требуют минимальных прав доступа

Более двух третей критических уязвимостей 2026 года позволяют проводить сетевые атаки без предварительных прав доступа и действий пользователя. Злоумышленникам не требуется перехватывать учетные данные или убеждать пользователей открыть вредоносный файл. Атаке подвергается непосредственно программное обеспечение, доступное по сети. Это создает риски компрометации контура защиты информации.

Регулярно проверяйте состав ПО и отслеживайте новые угрозы

Артём Максимов, продуктовый аналитик CodeScoring, рекомендует организациям регулярно проверять состав используемого программного обеспечения. Необходимо отслеживать новые сведения об уязвимостях компонентов. Количество критических проблем растет, поэтому требуется оперативно менять подходы к отслеживанию угроз. Контроль должен осуществляться не только на уровне собранного вендорского ПО, но и на уровне применяемых в нем компонентов. Приоритетом является устранение проблем, затрагивающих действующие внешние сервисы и создающих прямой риск для непрерывности бизнеса. Композиционный анализ программного обеспечения помогает выстроить такой контроль. Он включает автоматическое отслеживание состава приложений, выявление уязвимых зависимостей и определение версий компонентов, в которых проблемы устранены.

Коротко в карточках