75% מהיישומים המסחריים כוללים קוד קוד פתוח מיושן עם נקודות תורפה

חברת סינופסיס מְנוּתָח 1253 בסיסי קוד מסחריים והגיעו למסקנה שכמעט כל (99%) מהיישומים המסחריים שנבדקו כללו לפחות רכיב קוד פתוח אחד, ו-70% מהקוד במאגרים שנבדקו היה קוד פתוח. לשם השוואה, במחקר דומה ב-2015, נתח הקוד הפתוח עמד על 36%.

עם זאת, ברוב המקרים, קוד הקוד הפתוח של צד שלישי בו נעשה שימוש אינו מעודכן ומכיל בעיות אבטחה פוטנציאליות - 91% מבסיסי הקוד שנבדקו כוללים רכיבים פתוחים שלא עודכנו במשך יותר מ-5 שנים או שהיו במצב נטוש עבור לפחות שנתיים ואינם מתוחזקים על ידי מפתחים. כתוצאה מכך, 75% מקוד הקוד הפתוח המזוהה במאגרים מכילים פגיעויות ידועות ללא תיקונים, שמחציתן בעלות רמת סכנה גבוהה. במדגם של 2018, חלק הקוד עם פרצות היה 60%.

הפגיעות המסוכנת הנפוצה ביותר הייתה
בעיה CVE-2018-16487 (ביצוע קוד מרחוק) בספרייה לודש עבור Node.js, שגירסאות פגיעות שלהן נתקלו יותר מ-500 פעמים. הפגיעות העתיקה ביותר שלא תוקנה הייתה בעיה בדמון lpd (CVE-1999-0061), שתוקן ב-1999.

בנוסף לאבטחה בבסיסי הקוד של פרויקטים מסחריים, ישנה גם יחס רשלני כלפי עמידה בתנאי הרישיונות החינמיים.
ב-73% מבסיסי הקוד נמצאו בעיות בחוקיות השימוש בקוד פתוח, למשל רישיונות לא תואמים (בדרך כלל קוד GPL כלול במוצרים מסחריים ללא פתיחת מוצר נגזר) או שימוש בקוד ללא ציון רישיון. 93% מכל בעיות הרישוי מתרחשות ביישומי אינטרנט וניידים. במשחקים, מערכות מציאות מדומה, מולטימדיה ותוכניות בידור, הבחינו בהפרות ב-59% מהמקרים.

בסך הכל, המחקר זיהה 124 רכיבים פתוחים טיפוסיים שנמצאים בשימוש נפוץ בכל בסיסי הקוד. הפופולריים שבהם הם: jQuery (55%), Bootstrap (40%), Font Awesome (31%), Lodash (30%) וממשק המשתמש של jQuery (29%). מבחינת שפות תכנות, הפופולריות ביותר הן JavaScript (בשימוש ב-74% מהפרויקטים), C++ (57%), Shell (54%), C (50%), Python (46%), Java (40%), TypeScript (36% ), C# (36%); פרל (30%) ורובי (25%). החלק הכולל של שפות התכנות הוא:
JavaScript (51%), C++ (10%), Java (7%), Python (7%), Ruby (5%), Go (4%), C (4%), PHP (4%), TypeScript ( 4%), C# (3%), Perl (2%) ו-Shell (1%).

מקור: OpenNet.ru