Snart 100.000 sårbarheder på ét år: Da prognosen blev virkelighed

Da prognoseholdet hos FIRST offentliggjorde deres sårbarhedsprognose i februar, lød budskabet markant: 2026 ville sandsynligvis blive det første år nogensinde med mere end 50.000 offentliggjorte CVE'er.

Medianprognosen lød på 59.427 CVE'er, men organisationen understregede samtidig, at scenarier med 70.000 til 100.000 sårbarheder var fuldt realistiske. Den øvre grænse i deres 90 procents konfidensinterval lå på hele 117.673 CVE'er.

På det tidspunkt virkede 100.000 som et ekstremt udfald.

I dag gør det ikke længere. Her pr. 11. november er vi ifølge NVD oppe på 98.696, dvs. at vi vil formentlig passere de 100.000 i løbet af weekenden. 

Kurven pegede allerede opad

Allerede i april erkendte NIST, at væksten i antallet af sårbarheder var ved at overhale myndighedernes kapacitet. Antallet af CVE-indsendelser var steget med 263 procent fra 2020 til 2025, og alene i første kvartal 2026 lå antallet af indsendelser næsten en tredjedel over samme periode året før. 

Samtidig endte 2025 med knap 50.000 registrerede sårbarheder, hvilket allerede dengang blev betragtet som et historisk højt niveau. 

Udviklingen i 2026 har vist, at problemet ikke længere handler om enkelte rekordmåneder.

Microsoft har alene udsendt Patch Tuesday-opdateringer med 1.411 rettede sårbarheder i oktober og 1.235 i november. Tidligere på året blev juni den største Microsoft-opdatering nogensinde med 206 CVE'er i én måned. 

Den eksplosive vækst skyldes ikke nødvendigvis dårligere software. Tværtimod peger både leverandører og forskere på, at AI-baserede analyseværktøjer gør det muligt systematisk at finde langt flere fejl end tidligere.

Fra undtagelse til normaltilstand

100.000 offentliggjorte CVE'er er således ikke en statistisk milepæl. Det vil markere et skifte i måden, sårbarhedshåndtering fungerer på.

Selv store sikkerhedsorganisationer kan ikke analysere, berige og håndtere alle fund. Netop derfor valgte NIST tidligere på året at begrænse, hvilke CVE'er der får fuld analyse i National Vulnerability Database. 

Den udvikling var præcis, hvad FIRST advarede om i februar: Når forskellen mellem 30.000 og 100.000 sårbarheder ikke længere er teoretisk, bliver prioritering vigtigere end optælling.

2026 ser dermed ud til at blive året, hvor cybersikkerhedsbranchen lærte, at udfordringen ikke er at finde sårbarheder. Udfordringen er at finde dem, der faktisk betyder noget.