В России нашли многократные расхождения цен в госзакупках ПО

В России нашли многократные расхождения цен в госзакупках ПО

В России нашли многократные расхождения цен в госзакупках ПО

Счётная палата обнаружила серьёзный разброс цен при госзакупках одного и того же российского ПО. В ряде случаев стоимость лицензий отличалась в несколько раз, иногда до шести. Проверка охватила закупки 2022–2025 годов и затронула решения таких вендоров, как «Лаборатория Касперского», «Группа Астра», Postgres Professional, «Мой офис» и другие.

Об этом говорится в отчёте аудитора Данила Шилкова, с которым ознакомились «Ведомости».

Например, при закупке Kaspersky Endpoint Security для бизнеса в небольших объёмах (до 100 лицензий) цена за одну лицензию колебалась от 445 до 2862 рублей — разница составила 6,4 раза. Даже при крупных закупках разброс был заметным: от 529 до 1632 рублей за лицензию.

Схожая картина и по другим продуктам. По данным Счётной палаты, цена лицензии «Р7-Офис» в госконтрактах отличалась почти вдвое от рекомендованной производителем. А бессрочная лицензия Astra Linux Special Edition для сервера закупалась по цене от 18 400 до 109 400 рублей за экземпляр — разница почти в шесть раз.

Отдельно аудиторы отметили две закупки Postgres Professional, где 24 и 12 лицензий стоили по 8,8 млн рублей за единицу. В отчёте уточняется, что высокая цена связана с безлимитным использованием лицензий.

Почему так происходит? Эксперты напоминают: госзакупки регулируются законами № 44-ФЗ и № 223-ФЗ, а для ПО не существует единого обязательного «прайс-листа». Заказчики обосновывают начальную максимальную цену контракта (НМЦК) разными способами: через коммерческие предложения, анализ рынка, референтные контракты и т. п. Кроме того, в цену могут входить разные сроки лицензий, техподдержка, внедрение и дополнительные услуги.

По словам экспертов, ценовой разрыв в таких условиях — не редкость. Однако шестикратная разница может говорить либо о злоупотреблениях, либо о том, что в статистике учитывались «сборные» лоты, где на цену влияли сопутствующие услуги, а не только сама лицензия.

Счётная палата предложила ужесточить правила. В частности, Минцифры рекомендовано разработать типовые условия госконтрактов на поставку ОС и ПО — с обязательным указанием полной конфигурации, срока действия лицензии и параметров техподдержки. Минфину и Минцифры также предложено актуализировать каталог товаров, работ и услуг (КТРУ) и доработать реестр российского ПО с каталогом конфигураций и цен. Срок — до 1 июля 2026 года.

В Минцифры отметили, что повышение прозрачности закупок позволит отслеживать динамику цен и принимать меры для справедливого ценообразования. При этом регулятор напомнил, что нормативная база уже развивается: в 2025 году был принят закон о «доверенном» ПО, и сейчас готовятся требования к такой категории продуктов.

Вендоры, в свою очередь, указывают, что рекомендованные розничные цены не являются обязательными для партнёров, а конечная стоимость формируется с учётом условий конкретного контракта.

Эксперты считают, что введение типовых условий и референтных цен может сократить разброс и упростить контроль. Но полностью устранить различия в стоимости вряд ли получится — слишком многое зависит от конкретного проекта, архитектуры и набора сервисов.

Тем не менее аудит показал: прозрачность ценообразования в госзакупках ПО остаётся актуальной темой, особенно на фоне масштабного перехода на отечественные решения.

Своей позицией с нами поделились представители «Группы Астра»:

«Наша бизнес-модель не подразумевает прямых продаж. Мы работаем через дистрибьюторов и партнеров, которые и устанавливают для заказчика окончательную цену.

При этом важно понимать, что цена на конкретный продукт формируется от модели лицензирования, типа и срока обновлений и технической поддержки.

Также стоит отметить, что любой корпоративный ИТ-проект уникален с точки зрения особенностей существующей инфраструктуры заказчика, его требований к решению, наличия на его стороне необходимых для внедрения и поддержки компетенций, сроков реализации и множества других факторов, которые могут влиять на стоимость всего комплекса работ по модернизации ИТ-системы».

Подпишитесь на новости

Отключите HTTP/2 или обновитесь: Apache исправил критическую уязвимость

Разработчики Apache HTTP Server выпустили версию 2.4.71 с патчем для критической уязвимости CVE-2026-119618. Ошибка находится в модуле mod_http2, который отвечает за работу с протоколом HTTP/2, и может привести к удаленному выполнению кода. Уязвимы версии сервера с 2.4.55 по 2.4.70, а также отдельные сборки модуля mod_h2 с 2.0.8 по 2.0.42.

Описание уязвимости опубликовано в бюллетене Apache. Проблема связана с состоянием гонки в функции assign_headers(): несколько потоков обращаются к общим данным без нужной синхронизации, и это может повредить память сервера.

Первым об ошибке 26 октября сообщил сканер опенсорс-кода Anthropic. 3 ноября ту же уязвимость независимо нашли Энтони Уимс и Саймон Сканнелл из Google Cloud Vulnerability Research.

Red Hat оценила уязвимость в 9,8 балла из 10 по шкале CVSS. По данным компании, неаутентифицированный злоумышленник может получить контроль над процессом веб-сервера. Атаке подвержены только серверы с включенным HTTP/2, конфигурации с одним HTTP/1.1 в безопасности.

Red Hat также сообщила, что в открытых исследованиях уже показан надежный эксплойт. Опубликованный на GitHub PoC при этом вызывает только повреждение памяти и падение процессов.

По оценке Wiz, ресурсы с уязвимыми версиями Apache есть в 64% облачных сред, а в 51% они доступны из интернета. Настройки серверов в этих цифрах не учтены.

Администраторам рекомендуют обновиться до 2.4.71. Если это пока невозможно, атаку можно предотвратить, временно отключив HTTP/2. В той же версии исправлены еще две уязвимости: CVE-2026-106023 в модуле mod_md, из-за которой падают процессы сервера, и CVE-2026-109163 в mod_vhost_alias с низким уровнем опасности.

RSS: Новости на портале Anti-Malware.ru