Ośmiokrotnie więcej niepełnych poprawek open source w 2026 roku

Terra Security policzyła, że w 2026 roku udział poprawek open source na GitHubie, które później okazały się niepełne albo możliwe do obejścia, wzrósł około ośmiokrotnie. Badacz Oren Yomtov przejrzał wszystkie opublikowane rekordy CVE i porady bezpieczeństwa recenzowane przez GitHub.

Poprawki luk z katalogu CISA Known Exploited Vulnerabilities są później zgłaszane jako wadliwe około czterech razy częściej niż poprawki innych błędów tych samych producentów. Według Yomtova powodem jest uwaga: wykorzystywane luki przyciągają więcej osób, które analizują łatkę i szukają tego, co pominęła. Najczęściej zawodzą poprawki oparte na liście blokowanych danych wejściowych, na przykład przy SSRF i prototype pollution.

Kogo dotyczy

Dotyczy projektów open source, a przykładem jest Roundcube, oprogramowanie do obsługi poczty przez przeglądarkę. W marcu 2026 roku jego twórcy załatali lukę SSRF, blokując odnośniki do adresów prywatnych, ale kontrola pominęła inne zapisy tego samego adresu oraz domeny, które na niego wskazują. Domknięcie tych dziur wymagało trzech kolejnych CVE, wydanych w maju, lipcu i sierpniu.