Nyílt forráskódú üzleti platformok

Tizennyolc platformon 14 647 101 olyan európai weboldalt észleltek, amely valamelyiket futtatja. Ez weboldalakat számol, nem cégeket, a szolgáltató Európa-definíciója szélesebb az EU27-nél, és a WordPress részében személyes oldalak is vannak.

Ez egyben alsó határ, nem felső. A tizennyolc közül kettőre egyáltalán nincs védhető nyilvános szám — a Dolibarr és a metasfresh bejelentkezés mögötti üzleti rendszer, nincs mit nyilvánosan észlelni. Az ERPNext 39-et, a SuiteCRM 402-t mutat, ami látható minta és nem elterjedtségi adat — miközben a Dolibarr fejlesztői maguk 200 000 szervezetre becsülik a világszintű használatot.

Vagyis éppen azok a platformok láthatatlanok ennek a módszernek, amelyeken egy cég a működését viszi. A weboldalszámok nagyok; a láthatatlan halmaz az, ahol a számlák vannak.

Egyetlen országmegkötés bármelyik keresést egy piacra szűkíti. Ennyi az egész technika, és minden keresőoperátor-leírásban megtalálható — épp ez a lényeg: ehhez nem kell semmit megtanulni.

Amit ez nem mutat meg, az a sérülékeny verzió. Egy lábléc vagy belépési oldal annyit mond, hogy a termék fut, nem azt, hogy melyik kiadás — és mi nem közlünk sem belépési adatokat, sem adatkinyerést, sem támadási útvonalat. Ami nem az Önöké, annak vizsgálatához engedély kell.

Tizennyolc termék 13 különböző módon teszi közzé a biztonsági híreit. Van, ahol a mag és a kiegészítők külön forrás; mások egy szülőgyártón keresztül; az egyik fejlesztői nyíltan kijelentik, hogy nem CVE-kiadó szervezet és maguk nem adnak ki CVE-jelentést; egy másikhoz egyáltalán nem találtunk termékspecifikus CVE-t.

Aki ötöt futtat ezekből, annak öt szokást kell fenntartania, öt formátumban, közös menetrend nélkül. Ez nem fegyelmezettségi kérdés. Nincs egyetlen hely, amit figyelni lehetne.

A javítások növekvő része pedig egyáltalán nem kap CVE-t. A Shopware legutóbbi kritikus kiadásai CVE nélkül, tárolói hibajelentésként jelentek meg; az ERPNext nyolc hét alatt hatvannyolcat közölt, szinte egyet sem CVE-vel; a legutóbbi tizenhat WordPress-magjelentés közül tizenegyhez nem tartozott CVE. Vagyis a CVE-csatornák figyelése — amit a legkézenfekvőbb automatizálni — éppen ezeket hagyja ki.

Két dolog, amit ez a táblázat nem jelent. A több közzétett sérülékenység nem jelent kevésbé biztonságos terméket — gyakran épp szervezettebb közzétételi folyamatot jelez. És az üres hírcsatorna nem bizonyítja, hogy egy termék nyomon követés nélkül van: az Odoo a saját csatornáján tesz közzé, miközben a tárolójának hibajelentési listája üres volt, amikor megnéztük.

A platformszámok 2026-10-03-i letöltésből származnak, forrás: BuiltWith. A közzétételi gyakorlatokat ugyanazon a héten ellenőriztük, majd 2026-10-04-én közvetlenül, az élő hibajelentési adatokon újraellenőriztük. Mindkettő változik; az itt szereplő adatok dátummal ellátott mérések, nem állandó tények.