CodeScoring: число критических уязвимостей в открытом ПО за девять месяцев 2026 года выросло почти в пять раз
Аналитики платформы CodeScoring зафиксировали за январь-сентябрь 2026 года 3566 критических уязвимостей в открытом ПО — в 4,9 раза больше, чем годом ранее. Наибольший рост показали экосистемы npm и Go.
Платформа безопасной разработки CodeScoring подсчитала критические уязвимости (с оценкой CVSS от 9,0 и выше) в открытом программном обеспечении за девять месяцев 2026 года. По данным базы компании, за этот период появились сведения о 3566 таких уязвимостях — против 723 за аналогичный период прошлого года, рост почти пятикратный.
Сильнее всего показатели изменились в отдельных языковых экосистемах. В каталоге JavaScript-пакетов npm число критических уязвимостей увеличилось в 6,3 раза — с 89 до 562, а затронутых ими стабильных версий пакетов стало 39 127 против 3844 годом ранее, рост в 10,2 раза. В экосистеме Go уязвимостей стало больше в 5,1 раза — с 78 до 396, при этом количество затронутых стабильных версий модулей выросло в 2,1 раза — с 5995 до 12 443.
Больше чем для двух третей критических уязвимостей 2026 года в оценках CVSS указана возможность сетевой атаки без предварительных прав доступа и действий пользователя — то есть злоумышленнику не нужно похищать учётные данные сотрудников или заставлять их открывать вредоносные файлы, атаке подвергается само доступное по сети ПО.
Только с 15 сентября по 15 октября 2026 года в базу CodeScoring добавили сведения о 4609 новых уникальных уязвимостях всех уровней критичности в открытых компонентах.
Эксперты компании связывают рост числа отчётов с более интенсивным поиском дефектов: исследователи чаще применяют автоматический анализ и инструменты на основе искусственного интеллекта, а разработчики активнее раскрывают информацию о найденных ошибках. По этой причине уязвимости находят даже в давно внедрённых и не обновлявшихся проектах.
Продуктовый аналитик CodeScoring Артём Максимов отметил: «Организациям критически важно регулярно проверять состав своего ПО и отслеживать новые сведения об уязвимостях используемых компонентов. Количество критичных проблем растет, поэтому требуется оперативно менять подходы к отслеживанию известных угроз: контролировать их не только на уровне собранного вендорского ПО, но и на уровне применяемых в нем компонентов. В первую очередь необходимо устранять проблемы, которые затрагивают действующие внешние сервисы и создают прямой риск для непрерывности бизнеса».
По словам специалистов компании, выстроить такой контроль помогает композиционный анализ программного обеспечения — автоматическое отслеживание состава приложений, выявление уязвимых зависимостей и определение версий компонентов, в которых проблемы уже устранены.
