Количество обнаруженных в коде уязвимостей продолжает расти: за год их число увеличилось на 70% и превысило 3,1 млн. Ключевая проблема для компаний при этом — не поиск уязвимостей, а их разбор и устранение.
К такому выводу пришли эксперты AppSec Solutions, проанализировав обезличенные данные платформы AppSec.Hub. Исследование охватило 4 214 кодовых баз общим объемом около 510 млн строк кода за период с января 2025 года по май 2026-го.
Рост числа находок во многом связан с увеличением объема анализируемого кода и распространением ИИ-инструментов, в том числе вайбкодинга. При этом 69% неисправленных находок ожидают разбора инженера по информационной безопасности. Медианный срок устранения критических уязвимостей за год вырос со 103 до 153 дней.
Значительную часть потока составляет технический шум: 81–88% первичных срабатываний сканеров оказываются ложными. По данным исследования, автоматизация помогает существенно сократить нагрузку на специалистов.
«Контроль доступа остается лидирующей категорией среди опасных уязвимостей уже на протяжении многих лет. Это означает, что “безопасных” стеков не бывает — у каждого свое уязвимое место», — рассказал руководитель продукта AppSec.Hub компании AppSec Solutions Кирилл Гаранов.
За полгода обработки AppSec.Hub сократила 18,7 млн сырых срабатываний до 9,4 тыс. групп задач на исправление — почти в 2 тыс. раз. Доля автоматического разбора находок выросла с 41% в январе 2025 года до 58% в январе 2026-го.
Таким образом, ключевой задачей для команд ИБ становится не увеличение количества проверок, а автоматизация разбора, приоритизация рисков и сокращение технического долга.