Статистика CVEУязвимости, эксплуатация и исправления: цифры нашей базы

Каждое число на этой странице ежедневно пересчитывается по базе Noroxi CVE. Источники: CVE List, NVD, CISA KEV, FIRST EPSS и wordpress.org; проценты округляются вниз.

Измерено: 12 ноября 2026 г.

Ссылка: Noroxi, «Статистика CVE», 12 ноября 2026 г., https://noroxi.com/ru/cve/statistics. Лицензия CC BY 4.0.

Объём

Опубликованных записей CVE и GHSA в базе: 409 664. В 2026 г. на сегодня опубликовано: 97 895, в 2025 г.: 48 605.

Опубликованных записей: 409 664
2026 (на сегодня): 97 895
2025: 48 605

Эксплуатация

За последние 12 месяцев CISA добавило в каталог эксплуатируемых уязвимостей (KEV) записей: 320. Половина из них попала туда в течение 10 дней после публикации.
38 из добавленных в KEV за 12 месяцев (11 %) на момент добавления были старше 3 лет.
У 4 437 записей есть боевой эксплойт (модуль Metasploit или запись в KEV), у 34 251 — публичный PoC.
У 3 % из 105 069 записей, опубликованных за последние 12 месяцев (3 729), есть код эксплойта или запись в KEV.

Эксплуатируются на этой неделе

Добавлено в KEV (за 12 месяцев): 320
Медиана: публикация → KEV: 10 дн.
Старше 3 лет на момент добавления: 38 · 11 %
Боевой эксплойт: 4 437
Публичный PoC: 34 251
Записи за 12 месяцев с эксплойтом или KEV: 3 729 · 3 %

Критичность — не то же, что эксплуатация

11 % уязвимостей из KEV (205) оценены ниже CVSS 7. Команда, которая расставляет приоритеты только по CVSS, их пропустит.
Из 11 206 записей с оценкой CVSS 9 и выше за последние 12 месяцев код эксплойта или запись в KEV есть только у 10 % (1 168).
У 17 541 записей EPSS от 10% (вероятность эксплуатации в ближайшие 30 дней, FIRST). 87 % из них старше 3 лет.

В KEV с CVSS ниже 7: 205 · 11 %
Записи с CVSS 9+ с эксплойтом или KEV: 1 168 · 10 %
EPSS 10% и выше: 17 541
Из них старше 3 лет: 87 %

Исправления и оценки

У 53 % из 105 069 записей, опубликованных за 12 месяцев, есть данные об исправлении (исправленная версия или бюллетень производителя).
У 23 % из 64 920 записей, которые оценили и NVD, и выпустивший их CNA (15 116), оценки расходятся на 2 балла и больше.

Есть данные об исправлении (12 месяцев): 53 %
Расхождение NVD и CNA от 2 баллов: 15 116 · 23 %

WordPress

Плагинов WordPress хотя бы с одной известной уязвимостью в нашей базе: 14 379, тем: 1 569 (записей об уязвимостях: 39 326).
6 211 из этих плагинов (43 %) закрыты на wordpress.org: обновлений не будет, их нужно удалить или заменить.
В 931 плагинах есть уязвимость, не исправленная в последней версии (нет официального исправления).
Из записей об уязвимостях WordPress 48 % (19 211) можно эксплуатировать без входа на сайт.

Список закрытых плагинов

Плагинов с известной уязвимостью: 14 379
Тем с известной уязвимостью: 1 569
Записей о WordPress: 39 326
Закрытых плагинов: 6 211 · 43 %
Плагинов без исправления: 931
Записей без входа в систему: 19 211 · 48 %

Национальные уведомления Турции

Национальных уведомлений Управления кибербезопасности Турции: 8 326; в них упомянуты записи CVE (всего 50 215).

Национальные уведомления

Национальных уведомлений: 8 326
Упомянутых записей CVE: 50 215

Данные сканирований

Доли по результатам проверок нашими бесплатными инструментами (например, доля сайтов без DMARC) публикуются, только когда проверка выполнена минимум на 100 разных доменах. Этот порог пока не достигнут; по малой выборке мы не обобщаем.

Методика

Записи ежедневно поступают из CVE List (cvelistV5), NVD и GitHub Advisory Database (GHSA); учитываются только опубликованные (PUBLISHED).
Статус KEV и дата добавления — из каталога CISA; EPSS — из ежедневного файла FIRST; «боевой эксплойт» — модуль Metasploit или запись в KEV, PoC — запись в публичном репозитории эксплойтов (ссылки не приводятся).
«Последние 12 месяцев» — 365 дней до момента измерения, границы дня по UTC. Проценты округляются вниз; при базе меньше 30 доля не приводится.
Цифры по WordPress — из сопоставления компонентов (плагин/тема ↔ запись) и статуса на wordpress.org; уязвимость считается неисправленной, только если затронутый диапазон заканчивается последней версией на wordpress.org.

Методика оценки и приоритизации

Источники и выгрузка

Исходные данные: открытая выгрузка (CC BY 4.0)