Где-то в бэклоге уязвимостей службы безопасности прямо сейчас ожидает исправления подтвержденная уязвимость. Будь она обнаружена исследователем безопасности или в ходе агентного тестирования, находка была валидирована, а ее потенциальное влияние — оценено. И все же, несмотря на то что команды безопасности устраняют уязвимости быстрее, чем когда-либо, эта остается открытой, в то время как каждую неделю поступают новые данные.

Согласно отчету HackerOne «Security Research Report 2026: Exposure Debt: The Next Challenge in Cybersecurity», количество валидных отчетов об уязвимостях, ожидающих устранения, выросло на 131% в период с 2024 по 2026 год, даже несмотря на то, что исправленные отчеты проходили через систему более чем в два раза быстрее. Так почему же, когда среднее время устранения для всех уровней критичности сократилось со 135 до 62 дней, существует такой разрыв между тем, что находят, и тем, что исправляют?

Короткий ответ заключается в том, что обнаружение опередило исправление, и результатом этого стал «долг уязвимостей» (exposure debt) — растущий разрыв между уязвимостями, которые организация находит, и теми, которые она может исправить. Как и любой долг, он накапливается, и каждая нерешенная проблема увеличивает окно возможностей для злоумышленника.

Ключевые выводы из данных 2026 года

Количество валидных отчетов об уязвимостях, ожидающих устранения, выросло на 131% с 2024 по 2026 год.
Среднее время устранения за тот же период сократилось со 135 до 62 дней.
Почти 70% руководителей служб безопасности отмечают, что находки поступают быстрее, чем их команды успевают их устранять.
Организации с доходом более 10 миллиардов долларов в 2026 году имели в среднем 84,2 валидных отчета, что почти в шесть раз больше, чем 14,5 отчетов у организаций с доходом от 1 до 5 миллионов долларов.
53% руководителей служб безопасности сообщают об увеличении объема отчетов, созданных с помощью ИИ, а 60% отмечают их более высокое качество.

Получить полный отчет

Почему бэклог уязвимостей растет, если исправления стали быстрее?

Бэклог, который растет на 131% при сокращении времени устранения более чем вдвое, звучит как противоречие, но объяснение кроется в арифметике.

Частично это снижение отражает реальный прогресс, такой как более эффективные рабочие процессы, четкое распределение ответственности и ускоренная маршрутизация задач инженерам. Частично оно отражает то, что именно измеряет средний показатель. Цифра в 62 дня учитывает только те отчеты, которые были закрыты, а поскольку более простые исправления часто выполняются первыми, более сложные находки могут оставаться в ожидании. Тем временем новые находки продолжают поступать быстрее, чем команды успевают их валидировать и устранять — давление, о котором сейчас сообщают почти 70% руководителей служб безопасности. Команда может совершенствоваться каждый квартал и все равно наблюдать рост своего бэклога.

Не каждая находка в этом бэклоге имеет одинаковый вес. Команды безопасности обоснованно откладывают проблемы с низким уровнем критичности, если существуют компенсирующие меры контроля или если исправление стоит дороже, чем закрываемая им уязвимость. Отчеты в рамках программ bug bounty предоставляют ценные доказательства реальных уязвимостей и во многих случаях демонстрируют, как их можно использовать. Масштаб этого обнаружения значителен: исследователи на HackerOne заработали 89 миллионов долларов в виде выплат, что на 18% больше по сравнению с прошлым годом. Но обнаружение и валидация уязвимостей — это лишь часть проблемы. Когда эти находки остаются нерешенными, долг становится реальным.

«Чтобы закрыть этот разрыв, команды безопасности должны знать, какие уязвимости действительно эксплуатируемы, какие представляют наибольший риск и на чем сосредоточить ограниченные ресурсы. Это именно то, что делает исследователь, когда доказывает влияние. Они отвечают на важные вопросы: эксплуатируемо ли это? Насколько это серьезно? На что это влияет?» — говорит генеральный директор HackerOne Кара Спрэг.

Посмотрите наш вебинар по запросу «Кризис долга уязвимостей» (The Exposure Debt Crisis), чтобы изучить растущий разрыв между обнаружением уязвимостей и их устранением, а также узнать, что могут сделать команды безопасности.

Смотреть вебинар по запросу

Несут ли крупные предприятия больше долга уязвимостей?

Долг уязвимостей также концентрируется там, где операции наиболее сложны. В корпоративных программах в 2026 году в среднем было 84,2 валидных отчета по сравнению с 14,5 в самых маленьких организациях.

Причина носит структурный характер. Крупные компании управляют огромными массивами приложений, API, облачных активов и сторонних интеграций, где ответственность распределена между множеством подразделений. Подтвержденная уязвимость может пройти через несколько команд, прежде чем попадет к тому, кто обладает полномочиями для ее исправления, и каждая передача добавляет время. Время — это то, где растет долг.

Как ИИ меняет обнаружение уязвимостей?

ИИ увеличивает приток отчетов с другой стороны. Среди руководителей служб безопасности 53% сообщают об увеличении объема отчетов, созданных с помощью ИИ, а 60% отмечают их более высокое качество. Эта вторая цифра может удивить тех, кто следил за опасениями по поводу низкокачественных отчетов, сгенерированных ИИ, которые наводняют программы. Напротив, большинство руководителей служб безопасности говорят, что качество отчетов, созданных с помощью ИИ, улучшается.

Более качественные отчеты все равно попадают в ту же очередь. Каждую заявку нужно валидировать, подтвержденные уязвимости должны быть назначены командам, отвечающим за затронутые системы, а исправления или меры по снижению рисков должны быть внедрены. Эта работа требует времени и конкурирует с другими инженерными приоритетами. Поэтому, хотя большее количество валидных находок дает организациям более четкое представление об их уязвимости, они также могут усилить давление на и без того растущий бэклог.

Что означает долг уязвимостей для руководителей служб безопасности?

Все это указывает на сдвиг в том, как организации измеряют эффективность безопасности. Нахождение большего количества уязвимостей не обязательно означает снижение большего риска. Данные 2026 года показывают почему: обнаружение движется быстрее, чем многие организации успевают справляться с устранением.

Скорость устранения по-прежнему важна, но она рассказывает лишь часть истории. Отслеживание открытых, валидированных находок по уровню критичности и возрасту дает более четкое представление о том, что остается уязвимым. Для руководителей служб безопасности задача состоит в том, чтобы объединить обнаружение, валидацию, приоритизацию и устранение в непрерывный процесс, который снижает риск, а не просто выявляет его в больших объемах.

Как объясняет Джастин Лачески, директор по киберустойчивости в Redis:

«Наше среднее время устранения теперь на 21% быстрее, но скорость была не единственным, что имело значение. Находки, на исправление которых уходило больше всего времени, не были теми, что имели наибольшее влияние на безопасность. И когда мы видим класс уязвимостей, который постоянно всплывает, мы более внимательно изучаем эту часть приложения, вместо того чтобы рассматривать их как разовые случаи. Руководители служб безопасности должны смотреть дальше того, как быстро закрываются находки, и задаваться вопросом, где продолжает накапливаться риск».

«Наше среднее время устранения теперь на 21% быстрее, но скорость была не единственным, что имело значение. Находки, на исправление которых уходило больше всего времени, не были теми, что имели наибольшее влияние на безопасность. И когда мы видим класс уязвимостей, который постоянно всплывает, мы более внимательно изучаем эту часть приложения, вместо того чтобы рассматривать их как разовые случаи. Руководители служб безопасности должны смотреть дальше того, как быстро закрываются находки, и задаваться вопросом, где продолжает накапливаться риск».

Где-то этот отчет все еще находится в очереди, и вопрос для каждой программы безопасности заключается в том, как долго он там останется.

Следующие шаги: от долга уязвимостей к снижению рисков

Отчет о безопасности за 2026 год выявляет растущий разрыв между обнаружением уязвимостей и их устранением. Изучите выводы и узнайте, что они означают для вашей стратегии безопасности.

Скачайте отчет об исследованиях безопасности за 2026 год. Получите полные данные и аналитическую информацию о проблеме «долга по уязвимостям» (exposure debt).

Присоединяйтесь к нашему вебинару. Узнайте мнение экспертов по безопасности, которые разберут полученные результаты, обсудят их значение для команд безопасности и рассмотрят, как организации могут перейти от простого выявления уязвимостей к снижению рисков.

Часто задаваемые вопросы

Что такое «долг по уязвимостям»? Долг по уязвимостям — это растущий разрыв между количеством уязвимостей, которые организация обнаруживает, и количеством тех, которые она способна устранить, как определено в отчете об исследованиях безопасности HackerOne за 2026 год.

Что вызывает появление долга по уязвимостям? Долг по уязвимостям накапливается, когда скорость обнаружения уязвимостей превышает возможности по их устранению. Расширение поверхностей атаки и масштабов программ в сочетании с обнаружением уязвимостей с помощью ИИ означают, что исследователи безопасности находят больше валидных уязвимостей, чем когда-либо прежде. Устранение при этом зависит от взаимодействия команд в рамках сложных структур ответственности, поэтому бэклог растет, когда исправления не успевают за тем, что было обнаружено.

Как измеряется долг по уязвимостям? Долг по уязвимостям измеряется путем отслеживания открытых валидных уязвимостей по уровню серьезности и времени их существования, а также по времени их устранения. Данные HackerOne за 2026 год показывают, что бэклог вырос на 131%, в то время как среднее время устранения сократилось до 62 дней.

Об отчете

Отчет об исследованиях безопасности HackerOne за 2026 год основан на трех источниках данных, проанализированных или собранных летом 2026 года: агрегированных и деидентифицированных данных платформы H1 за период с июля 2025 года по июнь 2026 года; опросе 111 руководителей по безопасности в организациях с годовым доходом более 100 миллионов долларов в шести странах; и опросе 408 активных исследователей безопасности HackerOne. Сравнение результатов опросов по годам проводится на основе независимых выборок респондентов. Опрос руководителей по безопасности 2026 года включал как клиентов HackerOne, так и тех, кто ими не является, поэтому он не является напрямую сопоставимым с опросами прошлых лет. В данном отчете 2026 год относится к периоду с июля 2025 года по июнь 2026 года.