В последнее время столкнулся с тем, что многие сканеры уязвимостей дают кучу ложных срабатываний или вообще пропускают крупные баги. Попробовал разные варианты — и open source, и коммерческие, и облачные сервисы. В итоге понял, что одними только автоматическими средствами особо не отделаться, особенно если у тебя сложный стек и кастомный код.