> Читаем опэнНЭТ, а там что ни новость об уязвимостях - так в 99% случаях речь о программах на С/С++

Наверное это потому, что 99% активно используемых программ написаны на C/C++. Вот, например, для какого-нибудь brainfuck-а практически про ошибки не сообщается, я так понимаю, что надо сделать вывод, что он ещё понадёжнее будет, чем Rust. Кстати, по такой логике - на ассемблере тоже программы гораздо надёжней, чем на всех этих новомодных языках (в том числе на C/C++) - вы часто слышите о переполнениях и выходах за пределы массивов на языке ассемблера?

> и в 98% случаях речь об ошибках двух (ровно двух) классов: 1) разыменование нулевого указателя, 2) выход за пределы буфера

это ближе к истине, но всё-равно, имхо, не верно. Эти классы ошибок влияют на безопасность, поэтому они на слуху, и для них даже разные там CVE придумали, а для логических и прочих - нет. Посмотрите какой-нибудь bugtracker для среднего размера проекта - там ошибки типа переполнения буфера и разыменования пустых указателей встречается гораздо реже, чем банальные ошибки логики, некорректная реализация исходной спецификации или просто то, что не были учтены какие-то граничные условия.