За последние месяцы заметил, что в 2026-м в веб-уязвимостях сместился фокус: теперь больше внимания к цепочкам уязвимостей, когда несколько мелких багов вместе дают полный доступ или утечку. Раньше это было, но сейчас именно такие комплексные сценарии выходят на первый план. Например, обычный XSS в связке с неправильной политикой CSP может серьезно пошатнуть защиту.

Чтобы проверить, стал ли сайт уязвим, теперь полезно не только бежать к стандартным сканерам, а смотреть логику работы приложений на стыках модулей, API и кастомных сценариев. Часто проблема прячется именно внутри взаимодействий, а не в базе или одной точке.

Из решений помогла комбинация автоматизированных тестов и ручного аудита. Обновленные CSP, переезд на HTTPS с HSTS + грамотный CORS — базовые шаги, но требующие тонкой настройки под проект. Плюс стоит задуматься о мониторинге необычного трафика, потому что теперь атаки часто идут через цепочки, не выбиваясь из обычной активности.

Кто что заметил у себя в проектах? Есть ощущение, что защита перестала быть просто набором патчей уязвимостей, а стала больше про архитектуру и постоянный контроль?