Хорошие новости: прогресс есть
- OWASP Top 10 Pass Rate вырос на 63% за 5 лет. Если в 2020 году только 32% приложений проходили проверку на отсутствие критических рисков OWASP, то в 2025-м таких уже 52%. Это говорит о том, что политики безопасности и фокус на стандарты работают.
- Количество приложений с высокоуровневыми уязвимостями (SAST) сократилось вдвое за последнее десятилетие. Это долгосрочный позитивный тренд, демонстрирующий улучшение качества кода.
Плохие новости: долг растёт, а исправления замедляются
Несмотря на прогресс, общая картина вызывает тревогу из-за растущей сложности и распространённости стороннего кода.
- Количество приложений с критическими уязвимостями выросло на 181%. Этот шокирующий рост наблюдается, когда мы учитываем данные не только статического анализа (SAST), но и динамического (DAST) и анализа зависимостей (SCA).
- Время на исправление уязвимостей увеличилось на 47%. В среднем на исправление бага теперь уходит 252 дня против 171 дня в 2020 году.
- «Технический долг безопасности» — это реальная проблема. 74% организаций имеют накопленные уязвимости, которые не исправлялись более года. У половины компаний этот долг является критическим — это уязвимости высокой степени серьезности и эксплуатации.
Главный источник риска: цепочка поставок ПО
Одна из самых ярких статистик в отчете связана с сторонним кодом.
- 70% критического долга безопасности исходит из сторонних библиотек. В то время как лишь 11% всего долга связаны с чужим кодом, именно в нём скрываются самые опасные и долгоживущие проблемы.
- Уязвимости в стороннем коде исправляются медленнее. Полупериод жизни бага в чужом коде составляет 12 месяцев, против 8 месяцев для собственного кода.
Лидеры и аутсайдеры: разрыв огромен
Отчёт сравнивает лучшие (топ-25%) и худшие (нижние-25%) организации по пяти ключевым метрикам. Разрыв — колоссальный.
Выводы и рекомендации от Veracode
Чтобы эффективно управлять рисками, необходимо два подхода:
1. Видимость и автоматизация на протяжении всего SDLC. Нужно находить и исправлять уязвимости как можно раньше, на этапе написания кода. Здесь критически важны политики безопасности и инструменты автоматизации, включая ответственный AI для помощи в ремедиации.
2. Единое представление и контекстуализация рисков. Поскольку исправлять всё невозможно, нужно фокусироваться на самом главном. Требуется единая платформа, которая помогает определить, какие уязвимости не просто серьезные, но еще и эксплуатируемые, достижимые и срочные в вашем конкретном контексте.
Итог: Безопасность ПО в 2025 году — это не про то, чтобы найти все баги. Это про эффективное управление рисками: предотвращение новых угроз и стратегическая борьба с существующим долгом, особенно в сторонних компонентах.
Источник: Veracode State of Software Security 2025 Report. Все данные и графики приведены в соответствии с методологией отчёта.
