Какие уязвимости сейчас реально палятся и как с ними проще работать?
 

Народ, заметил, что в 2026 году многие привычные дырки вроде SQL-инъекций или XSS всё ещё не исчезли, хотя про них говорят уже сто лет. При этом добавились новые заморочки с API и микросервисами, где ошибки в авторизации или неправильные CORS настройки часто делают сайты уязвимыми. По себе скажу, что простой сканер уязвимостей типа OWASP ZAP уже не всегда хватает — нужно руками проверить логику приложений, отлавливать бизнес-логические баги. Кто как делает? Я обычно начинаю с базового сканирования, потом парочку сценариев ручного теста и если есть доступ к коду — статический анализ. И ещё важно обновлять все библиотеки, фреймворки, иначе сидишь на пороховой бочке. А вы как догоняете свежие дыры и на что в первую очередь обращаете внимание?

Ну да, многие старые уязвимости до сих пор живы, потому что банально не патчат часто. Сейчас ловлю главным образом на неправильных настройках API и слабой авторизации — сканеры помогают, но без ручной проверки логики фиг что поймаешь. Главное — не игнорировать обновления и не пихать в прод старый хлам, тогда меньше проблем будет.