Доля неудачных патчей в открытом ПО выросла до 2,3% в 2026 году

Среди неудачных патчей непропорционально часто встречаются исправления против SSRF и загрязнения прототипов JavaScript — в 4,6 и 11 раз чаще, чем можно было бы ожидать исходя из их доли среди всех уязвимостей. В Roundcube мартовский патч блокировал обращение к 127.0.0.1, но пропустил альтернативные записи вроде 127.1 или 0x7f000001, из-за чего разработчикам пришлось выпустить ещё три заплатки. В случае с PaperCut обход патча нашли менее чем через сутки после выхода первого обновления.

Особенно заметна проблема в ядре Linux: 3,2% всех уязвимостей там возникли прямо в коде, который добавляли для исправления другой ошибки. В подсистемах fs/smb и net/sched доля уязвимостей, порождённых исправлениями, достигает 10%. Примером может служить цепочка ошибок в Unix-сокетах. Изменение 2023 года нарушило учёт файловых дескрипторов, срочное исправление вызвало зависание ядра, а следующая правка оказалась неполной.

Факторы роста и рекомендации

Увеличение доли неработающих исправлений совпадает по времени с распространением ИИ-инструментов для анализа кода, однако в Terra Security подчёркивают: прямая причинно-следственная связь не доказана. При этом эксперимент сентября, в котором специалисты разобрали патч MikroTik с помощью ИИ за час, демонстрирует, что анализ ускоряется. Для уже эксплуатируемых уязвимостей вероятность последующего обхода патча примерно в четыре раза выше.

Что делать после установки патча

Администраторам не стоит рассматривать обновление как абсолютную защиту, особенно если инцидент уже произошёл. Terra Security рекомендует до выпуска проверять исправления на альтернативные способы эксплуатации, искать побочные эффекты в коде и устранять причину ошибки, а не только её симптом. После развёртывания патча необходимо проводить повторные тесты и убеждаться, что закрыты все пути обхода, включая альтернативные.