Кратко

  • Woodman ожидает более 500 CVE в 2026 году в экосистеме Erlang, Elixir и Gleam против примерно десяти годом ранее; страница RIPE 93 указывает рост более чем в 50 раз.
  • После обнаружения начинаются координация, исправление и проверка. EEF пробует объединять задачи по проектам, а Woodman призвал компании, использующие эти пакеты, финансировать CNA.

Сканер сообщает о проблеме, но патч не появляется сам. Нужно воспроизвести ошибку, изменить код, проверить результат и выпустить версию, которую можно установить. На RIPE 93 Alistair Woodman объяснил, почему именно это стало узким местом для CNA Erlang Ecosystem Foundation.

Он сравнил около десяти CVE за прошлый год с прогнозом более чем в 500 к концу 2026-го. Страница доклада говорит о росте свыше 50 раз. По словам Woodman, многие ошибки существовали раньше, но их не находили. Это рост числа записей CVE, а не количества новых багов или выпущенных исправлений.

В CNA пять основных ответственных, сказал Woodman. По его оценке, четыре других участника команды пришли из сообщества, а ядро виртуальной машины активно сопровождают около 15 сотрудников Ericsson. Большую часть работы с CVE и исследований с помощью ИИ выполняют двое. CNA может координировать раскрытие и присвоить идентификатор; исправить пакет должен его сопровождающий.

Чтобы не отвлекать разработчиков по одному разу на каждый найденный дефект, команда пробует выделять проекту отдельное окно и передавать несколько случаев сразу. Woodman описал это как эксперимент; данных о том, что такой подход уже сократил время до исправления, он не представил.

Политика EEF обещает подтвердить получение и оценить сообщение за два рабочих дня. Для уже раскрытых публично уязвимостей она задаёт публикацию в течение 24 часов или быстрее. Время обнаружения стало дешевле, но обслуживание процесса и работа над исправлением всё ещё требуют людей.

Woodman оценил экосистему примерно в 20 тысяч пакетов, около 100 тысяч регулярных пользователей языков и не менее 5 тысяч известных компаниям. Он завершил выступление просьбой к использующим технологии компаниям, которых нет среди спонсоров, поддержать работу. EEF предлагает финансовое спонсорство и волонтёрскую координацию.

Источники