Нет единственного «самого уязвимого» ПО; уязвимость определяется сочетанием факторов: степень экспозиции (доступность из сети), наличие и серьёзность известных уязвимостей, частота обновлений и качество кода. Чаще всего наиболее рискованными оказываются:
- Интернет‑доступные сервисы и демоны (веб‑серверы, RDP, почтовые и SSH‑службы) — большой атакуемый публичный интерфейс.
- Устаревшее/непатченное ПО и ОС — накопление известных эксплойтов делает их лёгкой добычей.
- Широко используемые сторонние библиотеки/компоненты (например, OpenSSL, Log4j в истории) — уязвимость в них влияет на тысячи приложений (supply‑chain risk).
- Веб‑приложения и CMS (WordPress, Joomla и т. п.) с уязвимыми плагинами — высокая площадь атаки и частые ошибки в коде.
- Встроенное ПО/IoT‑устройства — редко обновляют, слабая защита и закрытый код.
- Собственные корпоративные приложения с плохой безопасностью и без тестирования — часто содержат логические ошибки и утечки.
Как оценивать «самое уязвимое» на практике: смотреть сочетание известных CVE, частоты эксплойтов и сетевой экспозиции. Для снижения риска — своевременные патчи, инвентаризация ПО, минимизация внешнего доступа, SCA/сканирование зависимостей и принцип наименьших привилегий.