Народ, заметил, что в 2026 году многие привычные дырки вроде SQL-инъекций или XSS всё ещё не исчезли, хотя про них говорят уже сто лет. При этом добавились новые заморочки с API и микросервисами, где ошибки в авторизации или неправильные CORS настройки часто делают сайты уязвимыми. По себе скажу, что простой сканер уязвимостей типа OWASP ZAP уже не всегда хватает — нужно руками проверить логику приложений, отлавливать бизнес-логические баги. Кто как делает? Я обычно начинаю с базового сканирования, потом парочку сценариев ручного теста и если есть доступ к коду — статический анализ. И ещё важно обновлять все библиотеки, фреймворки, иначе сидишь на пороховой бочке. А вы как догоняете свежие дыры и на что в первую очередь обращаете внимание?