2026年开源格局报告：生产环境中开源软件运行实践

核心观点与关键数据

• 开源技术使用现状：企业广泛使用开源技术，其中编程语言与运行时（66.95%）的使用率最高，其次是Linux操作系统（45.19%）。JavaScript/TypeScript和Python是主要的应用开发语言，OpenJDK是默认的Java运行时。Linux系统以中小规模为主（21-100系统和<10系统占28.70%和19.44%），Ubuntu是主流发行版（33.33%），CentOS使用仍普遍但面临EOL问题。
• CentOS EOL迁移趋势：近半数企业选择Rocky Linux或AlmaLinux进行迁移，表明优先考虑兼容性与稳定性。迁移障碍包括应用兼容性、验证合规性、工程资源限制等。购买扩展支持是重要的风险管理工作，反映了企业在现代化与风险控制间的权衡。
• 开源安全问题：大型企业报告的安全事件发生率更高。多数事件与未应用的补丁相关（61.4%），表明补丁管理仍是主要挑战。Linux安全风险分布在多个技术层，但应用层和数据库层尤为突出。多数事件发生时企业已知晓漏洞存在，说明问题在于执行而非识别。
• Linux补丁与漏洞管理：企业正转向操作成熟度，通过自动化和流程优化提升效率。但补丁速度普遍停滞，仅1.0%的企业实现提速。 uptime限制、人力错误和资源不足是主要延迟因素。大型企业（500+服务器）的维护时间显著高于小型企业。
• 开源生命周期管理：多数企业通过公共文档或内部工具跟踪生命周期状态，但早期发现EOL的情况不普遍。EOL组件的管理方式包括升级、迁移、购买扩展支持等。企业倾向于在稳定当前系统的同时规划长期现代化。
• 开源供应链安全：企业对直接依赖的信心相对较高（49%“ somewhat confident”），但对间接依赖（transitive dependencies）的信心较低（49%“ somewhat confident”）。SBOM和自动化依赖管理工具的采用率仍较低。企业通过“源码库+扫描器”的轻量级模型建立信任，但缺乏对维护、供应商风险和生命周期变化的持续管理。
• 漏洞扫描：Dependabot（GitHub）因集成在开发者工作流中而广受欢迎，表明“左移”安全模式兴起。企业倾向于使用2-3种扫描工具组合，以实现不同阶段的互补覆盖，同时避免工具泛滥。连续扫描正在增加，但季度扫描仍是主流。

研究结论

• 开源技术已深度融入企业运营，但管理方式仍面临挑战。企业正从资源驱动转向操作驱动，通过自动化和流程优化提升效率。
• 补丁管理速度停滞不前，依赖复杂性和稳定性风险导致补丁工作难以规模化。企业需要新的方法来应对不断增长的漏洞数量和复杂性。
• 开源生命周期管理的重要性日益凸显，但多数企业仍依赖被动或反应式的方法。EOL风险管理通常采用短期稳定与长期现代化相结合的策略。
• 开源供应链安全的核心在于提升可见性。企业需要从“知道存在什么”转向“持续控制和管理依赖关系”。
• 开源信任建立主要在引入阶段，而非持续管理。企业倾向于快速筛选和扫描，但缺乏对维护和变化的持续监控。
• 未来开源安全需要更加快速、持续和适应性强，以应对混合环境、长期软件和业务连续性要求。企业应将安全视为一项运营能力，而非周期性项目。