Число CVE в 2026 году превысило 100 тысяч — этот рубеж был пройден 13 ноября. Это более чем вдвое выше итогового показателя 2025 года, а главной причиной аналитики называют применение ИИ для поиска программных ошибок. Для российских команд это плохая новость не из-за самой круглой цифры: окно между публикацией уязвимости и попытками её эксплуатации теперь может измеряться часами.
По данным The Register, к 16:00 UTC 13 ноября каталог VulnCheck насчитывал 100 222 опубликованные уязвимости с идентификаторами CVE. Только Microsoft во вторник добавила 1 094 записи, а месяцем ранее — ещё 1 474. Джош Брессерс, директор VulnCheck по координированному раскрытию уязвимостей, связывает всплеск прежде всего с автоматизированным поиском багов: крупные центры нумерации CVE — от Microsoft и Oracle до GitHub и VulnCheck — получают всё больше находок.
Сам по себе рост реестра не означает, что атакующих стало в сто раз больше. Доля подтверждённо эксплуатируемых уязвимостей остаётся сравнительно стабильной: в каталог Known Exploited Vulnerabilities VulnCheck в этом году попали 1 363 CVE, или около 1,4% от опубликованных. Но арифметика здесь неприятная: даже неизменный процент при шестизначном потоке находок даёт существенно больше реальных точек входа в инфраструктуру.
Ещё опаснее скорость. CrowdStrike зафиксировала, что с января по июнь 88% наблюдаемой эксплуатации, где использовался публичный proof of concept, начиналась в течение 48 часов после публикации такого кода. Связанные с Китаем группы Vault Panda и Genesis Panda в отдельных случаях переходили к атакам менее чем за сутки после раскрытия. VulnCheck оценивает медианное время от появления CVE до эксплуатации в 120 дней в 2025 году и 80 дней в первой половине 2026-го; во второй половине года интервал, по словам Брессерса, сократился ещё сильнее.
Показателен эпизод с контроллерами холодильного оборудования Copeland. В день публикации 14 уязвимостей, позволяющих получить повышенные привилегии, две уже эксплуатировались, а обращения к ловушкам VulnCheck начались буквально через минуты после раскрытия. Такие устройства ранее использовались иранскими хакерами в атаках на европейские супермаркеты: последствия уязвимости в промышленном оборудовании — не только простой сервиса или утечка базы клиентов, но и испорченные продукты либо пожар. Публичный патч стал для злоумышленников удобным материалом для обратного анализа, а ИИ ускоряет разбор кода и сборку рабочего эксплойта.
Поэтому число CVE перестаёт быть полезным KPI для службы безопасности. Невозможно качественно закрывать каждую «критическую» запись в очередном бюллетене, особенно если сканеры, агенты и подрядчики генерируют тысячи уведомлений. Брессерс предлагает смотреть не на бесконечный список, а на карту собственной инфраструктуры: какие активы доступны из интернета, где уязвимость уже используется в атаках, можно ли автоматизировать эксплуатацию и насколько ценны данные или процессы за этим активом.
Этот подход близок к директиве CISA, выпущенной в июне. Американское ведомство отказалось от плоских сроков устранения проблем, зависящих только от балла CVSS. В приоритете теперь контекст: внешняя доступность системы, наличие активной эксплуатации и возможность масштабной автоматизации атаки. Для бизнеса это вполне прикладная перестройка: инвентаризация активов, связка сканирования с данными об экспозиции и владельцах сервисов, а также отдельный процесс для уязвимостей из каталогов KEV важнее очередного отчёта о проценте закрытых «критических» задач.
Разработчикам и сопровождающим open source от этого не легче. ИИ-агенты способны массово искать потенциальные дефекты, скачивать пакеты и отправлять однотипные либо малополезные сообщения. Создатель curl Даниэль Стенберг в октябре изменил правила приёма отчётов из-за лавины таких заявок: низкий и средний уровни тяжести теперь направляются сразу в публичный GitHub, а приватный канал сохраняется для высоких и критических проблем. Ранее команда curl закрыла программу bug bounty, поскольку поток сгенерированных сообщений стал отнимать слишком много ресурсов у security-команды.
Похожую экономику пытаются выстроить и вокруг инфраструктуры пакетов. Eclipse Foundation в апреле запустила управляемый тариф для организаций, использующих Open VSX Registry в крупном масштабе: коммерческие потребители финансируют поддержку реестра и получают обязательства по доступности. Это не решает проблему качества отчётов, но показывает направление: бесплатная экосистема не обязана бесконечно переваривать автоматизированный трафик крупных пользователей.
Следующий вопрос для отрасли — не сможет ли процесс раскрытия уязвимостей адаптироваться быстрее, чем растёт число CVE. Если поиск ошибок, обратный анализ патчей и первичная эксплуатация всё чаще выполняются машинами, командам придётся автоматизировать и защитную сторону: от фильтрации отчётов до риск-ориентированного патчинга. Иначе 100 тысяч записей за год окажутся не рекордом, а просто первой цифрой в новой норме.
