Статистика уязвимостей за первое полугодие 2026 года по данным БДУ ФСТЭК: 8725 новых записей

За первое полугодие 2026 года в банк данных угроз безопасности информации (БДУ) ФСТЭК России внесено 8725 новых уязвимостей. Из них 784 уязвимости (9%) имеют критический уровень опасности, ещё 3670 (42%) — высокий. CISOCLUB каждое полугодие готовит статистику по собственной базе, синхронизированной с БДУ.

Как минимум для каждой пятой уязвимости полугодия уже известен эксплойт.

Распределение по уровню опасности

Новые уязвимости первого полугодия 2026 года по уровню опасности (уровень — CVSS: критический 9,0–10,0, высокий 7,0–8,9, средний 4,0–6,9, низкий 0,1–3,9)

Средний балл CVSS за полугодие 6,8, медианный 7,0 (оценка указана для 8724 из 8725 записей). Для 1975 уязвимостей (23%) известен эксплойт, в том числе для 1580 он опубликован в открытом доступе. Критический или высокий уровень опасности у 1406 из них. По 124 уязвимостям зафиксированы случаи эксплуатации, у 720 (8%) на дату среза нет информации об устранении.

Динамика по месяцам

Динамика новых уязвимостей БДУ ФСТЭК по месяцам — Новые записи БДУ ФСТЭК по месяцам, по срезу выгрузки на 01.11.2026

Какое ПО чаще всего фигурирует в записях полугодия

Топ уязвимого ПО периода — ПО, чаще всего фигурирующее в новых записях периода (число записей БДУ, где оно указано уязвимым)

Самые опасные уязвимости полугодия

Записи полугодия с максимальной оценкой CVSS, по одной на продукт. При равной оценке выше стоят уязвимости с публичным эксплойтом и с зафиксированными случаями эксплуатации.

BDU:2026-00664 — HTTP Server (Oracle), CVSS 10,0, эксплойт в открытом доступе, зафиксированы случаи эксплуатации
BDU:2026-01883 — RecoverPoint (Dell Technologies), CVSS 10,0, эксплойт в открытом доступе, зафиксированы случаи эксплуатации
BDU:2026-06300 — Cisco Secure Firewall Management Center, CVSS 10,0, эксплойт в открытом доступе, зафиксированы случаи эксплуатации
BDU:2026-07798 — UniFi OS Server (Ubiquiti Networks), CVSS 10,0, эксплойт в открытом доступе, зафиксированы случаи эксплуатации
BDU:2026-08029 — Ivanti Sentry, CVSS 10,0, эксплойт в открытом доступе, зафиксированы случаи эксплуатации

Что показывают цифры

В первом полугодии 2026 года критический и высокий уровни составили 51% новых уязвимостей. Для 1406 критических и высоких уязвимостей известен эксплойт — это основание выделить их в первую очередь при планировании обновлений и проверке уже установленных версий. Всего эксплойт существует для 1975 уязвимостей, или 23% новых записей; публичный эксплойт есть для 1580. Это повышает приоритет проверки применимости обновлений для систем, где затронутое ПО доступно извне или используется в рабочих процессах.

Число новых уязвимостей для Linux — 2648, для РЕД ОС — 2054: организациям с этими системами следует сверить инвентаризацию и охват обновлениями с учётом этих объёмов. Для 720 уязвимостей нет информации об устранении (8%), поэтому при планировании работ нужно отдельно отслеживать появление сведений об устранении и оценивать необходимость компенсирующих мер. Для таких записей нельзя считать отсутствие информации подтверждением отсутствия обновления.

Методология

Источник данных — официальная выгрузка БДУ ФСТЭК России, срез на 01.11.2026. Одна запись БДУ соответствует одной уязвимости. Учитываются записи, опубликованные ФСТЭК в отчётном периоде. У части записей регулятор дату публикации не приводит, для них периодом считается месяц выявления уязвимости. Отклонённые регулятором записи не учитываются. БДУ пополняется в том числе задним числом, поэтому итоговые цифры периода могут уточняться — уточнения мы показываем в следующем выпуске. Карточки всех уязвимостей доступны в разделе «Уязвимости».

Автор: Игорь

Представитель редакции CISOCLUB. Пишу статьи по ИБ, ИТ.

Комментарии: