AppSec.Wave научился находить уязвимости в коде на языке «1С»

• CNews FORUM 12 ноября
• CNews AWARDS 12 ноября
• Школа Роста
• Российский рынок облаков за 20 лет
• 30 лет рынку ERP в России
• Главные ИТ-сценарии 2026
• Цифровизация
• Импортозамещение
• Безопасность
• ИТ в госсекторе
• ИТ в банках
• ИТ в торговле
• Телеком
• Интернет
• ИТ-бизнес
• Рейтинги
• Инфографика

21 Сентября 2026 14:11 21 Сен 2026 14:11 |

Инструмент статического анализа кода AppSec.Wave от AppSec Solutions теперь может работать с ПО, написанном на языке «1С». Это изменение позволит применять инструмент кибербезопасности в бизнесе, который активно применяет ПО на основе российского языка программирования. Об этом CNews сообщили представители AppSec Solutions.

Программное обеспечение на «1С» применяется в финтехе, госсекторе, девелопменте и множестве других отраслей бизнеса, которым важна защищенность чувствительных данных. AppSec.Wave – инструмент статического анализа кода, который поддерживает множество языков программирования, включая JavaScript, Python, Go, C++, Java, PHP, Ruby, C#. Теперь к этому списку добавился российский язык программирования, который требуется при разработке систем, предназначенных для критической инфраструктуры.

Это не набор поисковых паттернов по тексту конфигурации, а полноценный taint-анализ: движок строит дерево вызовов внутри модуля, прослеживает путь от источника не доверенных данных до опасной операции и показывает каждый шаг с указанием файла и номера строки. «1С» — это пространство, где сосредоточены финансы, кадровые данные, товарные остатки и персональная информация. Однако «поддержка «1С»» в инструментах анализа кода на практике чаще всего сводится к набору поисковых шаблонов по тексту конфигурации: найти вызов известного опасного метода, обнаружить строку с конкатенацией текста запроса, зафиксировать явное отключение проверки прав.

«Такой подход дает два предсказуемых результата — поток ложных срабатываний и пропуск реальных уязвимостей, – сказал рассказал руководитель продукта AppSec.Wave компании AppSec Solutions Александр Заводовский. – Причина проста: уязвимость в «1С» почти никогда не выглядит как одна подозрительная строка. Она складывается из нескольких внешне обычных, синтаксически корректных фрагментов кода. Движок работает с потоком данных, а не с текстом. Он строит дерево вызовов внутри модуля и связывает процедуры между собой, размечает источники не доверенных данных, прослеживает распространение значения через присваивания, конкатенации, переименования, а затем фиксирует момент, когда это значение доходит до опасной операции. На выходе система воспроизводит маршрут, каким образом уязвимость появилась».

Ранее AppSec.Wave также был интегрирован с MCP-сервером, чтобы обеспечить легкое взаимодействие с Claude Code, Cursor и другими решениями для анализа уязвимостей в коде на самых ранних этапах разработки приложений. Разработчики, пишущие код с помощью ИИ-сред, могут проводить проверку сгенерированного ПО на уязвимости автоматически. Помимо этого, компания расширила для вайб-кодеров возможности своего анализатора open-source компонентов AppSec.Track для поиска несуществующих или вредоносных сторонних пакетов.