Год заканчивается, время подводить итоги, показывать какие-нибудь циферки и поделиться своими выводами и видением.
Попробую и я сойти за умного и поделиться своими заметками.

Топ 5 CVE (плюс бонус):
1. React2Shell (CVE-2025-55182) - мой личный топ года. Красиво, эпично и масштабно. 10/10.
2. Windows NTLM V1 Elevation of Privilege Vulnerability (CVE-2025-21311) - мне редко интересны уязвимости в Windows (правда там и на samba импакт), но тут прямо здорово. NTLM V1 в 2025 году? Что может пойти не так?
3. Microsoft WSUS Deserialization RCE (CVE-2025-59287) - снова уязвимость в Windows, но зато какая. А если учесть, что были найдены хосты WSUS, доступные из дикого интернета, то совсем красота получается.
4. Apache Tomcat Path Traversal (CVE-2025-55752) - немного набивший оскомину Tomcat, который каждый год должен быть в таких топах.
5. n8n Remote Code Execution (CVE-2025-68613) - AI-автоматизация врывается в тренды, в том числе и с CVE.

Бонус:
MongoDB Unauthenticated Memory Leak Exploit (MongoBleed) (CVE-2025-14847) - запоздалый "подарок" под конец года. Бага в zlib позволяет злоумышленникам инициировать утечку информации.

Список можно продолжать ещё долго, но остановимся на этом.

Количество CVE от года к году продолжает расти. Если 2024 закончился на ≈ 40 тысячах (40303 по данным CVEDdetails, 39972 по данным NVD), то 2025 заканчивается на 47к+, что показывает примерный прирост ~40% (в среднем 135 новых CVE в день).

По критичности выходит примерно следующее (данные везде разные, возьму за основу CVEFeed.io):
Всего: 49170 CVE
Critical (9.0–10.0): ≈ 13.6 % (6672 уязвимости)
High (7.0–8.9): ≈ 34.1 % (16721 уязвимость)
Medium (4.0–6.9): ≈ 43.8 % (около 21,236 уязвимостей)
Low (0.1–3.9) + N/A ≈ 1.8 % (897 меньшая часть, плюс некоторые без оценки)
N/A: 3 164 ≈ 6.5 %

Данные разнятся, но ± количество и соотношение такое (CVE.ICU показывает схожие цифры, да и пока эти цифры указываешь, информация уже теряет актуальность).

C Weaknesses всё довольно ожидаемо и CWE Top 5 выглядит так:
- XSS (CWE-79)
- SQLi (CWE-89)
- CSRF (CWE-352)
- Missing Authorization (CWE-862)
- Out-of-bounds Write (CWE-787)

Тренды:
- Нейронки: не только в атаке, но и в обороне. Как минимум, детекты дипфейков и прочего AI-generated контента уже более частое явление.
- Supply chain: со временем лучше не становится, и даже в OWASP Top 10 2025 Software Supply Chain Failures находится на 3 месте.
- Nation-state hackers: не особо какая новость, но активность Nation-state хакеров становится делом привычным, и на спад их активность не идёт.
- Инфостилеры никуда не делись: за 2025 утекли данные как минимум 16 компаний\организаций, а модель Malware-as-a-Service превратила стилеры в процветающий "теневой" бизнес.

Хактивисты измельчали, нейронки активно применяются в фишинге и написании зловредов, а в воздухе повис дух quantum threats to cryptography. А ещё падения Cloudflare и AWS.

Сложно сказать, что нам готовит год грядущий, но каждый раз что-то интересное и неожиданное.
Продолжаем вести наблюдение.