Я пересчитал уязвимости за год. Их втрое больше, а опасных вдвое

В сентябре 2026 года в мире зарегистрировали 15 074 уязвимости в программах. В сентябре 2025-го их было 4 537. Октябрь идёт ещё быстрее: за первые 22 дня 13 230, к концу месяца при том же темпе выйдет около 18,6 тысячи.

На этой неделе в X разошёлся график под названием CVE Tracker. Двадцать лет линия ползёт почти по нулю, а в последние месяцы уходит вертикально вверх. Автор, разработчик из криптоиндустрии, подписал его тремя словами: «Я устал, босс». Пост посмотрели почти миллион раз.

Я не стал верить картинке на слово и пересчитал сам по открытой базе NVD, американского реестра уязвимостей. Каждая найденная и подтверждённая дыра в программе получает там номер CVE. График не врёт.

За десять месяцев 2026 года опубликовано 88 тысяч уязвимостей. Это почти столько же, сколько за 2024 и 2025 годы вместе, а до конца года ещё два месяца.

Неделя выдалась тяжёлой. В PHP, на котором работают WordPress, «1С-Битрикс» и большая часть сайтов малого бизнеса, нашли две критические дыры. Через них можно выполнить свой код на сервере без всякого входа. Подробности утекли раньше заплатки, и атаки начались почти сразу. Американское агентство по кибербезопасности призвало обновиться немедленно, а основатель Binance написал, что в ближайшие дни стоит осторожнее заходить на любые сайты: не все администраторы успевают ставить обновления.

Почти все в обсуждении объясняют рост нейросетями. Модели читают чужой код быстрее людей и находят то, до чего раньше просто не доходили руки. Один удостоверяющий центр на этой неделе отозвал свои сертификаты и в объяснении прямо написал, что проблему нашли с помощью ИИ-инструментов.

Есть второй счётчик, который мне кажется важнее первого. Американское агентство ведёт каталог уязвимостей, которые уже точно используют в настоящих атаках. Среди сентябрьских CVE 2025 года таких 16, среди сентябрьских 2026-го 32.

Всех уязвимостей стало в 3,3 раза больше. Тех, через которые реально ломают, вдвое больше. Каталог пополняется с опозданием, и сентябрьская цифра ещё подрастёт, но разрыв заметный.

Мой вывод такой. Нейросети завалили реестр находками, и большая часть прироста приходится на мелочь, которую раньше никто не искал. Часть роста к тому же бюрократическая: с 2024 года разработчики ядра Linux сами заводят номер почти на каждое исправление, отсюда всплеск весной 2024-го. Опасных дыр стало больше, но не в разы.

Плохая новость в другом. Время между публикацией дыры и первой атакой сжалось до дней, а иногда и часов. Специалисты по безопасности сами жалуются, что половина «эксплойтов, написанных ИИ», которые им присылают, не работает. Но злоумышленнику хватит одного рабочего.

Если сайт на WordPress, «Битриксе» или любом другом PHP, спросите хостинг или разработчика одно: обновлён ли PHP после 21 октября. Это вопрос на одно письмо. Плагины WordPress, которые давно не обновлялись, лучше отключить, чем ждать.

Мы делаем ИИ-агентов, которым клиенты дают доступ к 1С, банку и кабинетам маркетплейсов, поэтому чужие уязвимости читаем как обязательную литературу. В наших правилах безопасности уже есть ссылки на дыры этого года у других, в том числе у похожих агентов: проверку, которую обходили, написав расширение файла заглавными буквами, и сертификат, который подменялся ответом из сети.

Вы знаете, какая версия PHP стоит на вашем сайте?