В октябре 2026 года мир столкнулся с волной серьёзных уязвимостей в ИТ-системах — так называемый «безопасный шторм» продолжительностью 72 часа. Одним из ключевых событий стала обнаруженная уязвимость PHP2Shell (CVE-2026-109618 и CVE-2026-109619) — два уязвимых места в PHP с оценкой серьёзности 9,2 из 10. Эти уязвимости позволяют атакующему захватить сервер через HTTP‑запрос без аутентификации. Проблема связана с тем, как PHP обрабатывает ошибки памяти: при нехватке памяти и сбое очистка не выполняется полностью, остаются устаревшие данные (указатели и т. д.).
Исследователи с помощью ИИ обнаружили в PHP уязвимость, существовавшую 22 года. Райан Остин из Calif Research нашёл способ обойти ограничения конфигурации PHP: в запросе на загрузку файла с пустым именем он встроил множество многоуровневых вложенных полей формы. При этом объём запроса остаётся малым, но при разборе PHP автоматически создаёт хеш‑таблицы, строковые ключи и другие структуры, что резко увеличивает потребление памяти. Несколько сотен таких записей позволяют исчерпать 128 МБ памяти при размере запроса менее 8 МБ.
Райан также обнаружил уязвимость в основной функции вставки в хеш‑таблицу: при добавлении элементов в таблицу сначала увеличивается счётчик количества элементов, затем выделяется память для имени ключа. Если выделение памяти завершается ошибкой OOM, счётчик уже увеличен, но соответствующая ячейка остаётся пустой или содержит мусорные данные. При последующей очистке кода происходит обращение к освобождённой памяти.
Уязвимость PHP2Shell затрагивает все версии PHP начиная с 5.4 (за 12 лет). PHP используется на более чем 70 % сайтов в мире, включая WordPress, Википедию, Drupal. По данным Censys, из 2,6 млн хостов с PHP около 1,5 млн не имели патча.
21 октября 2026 года в 14:00 UTC PHP‑команда выпустила патч для устранения уязвимостей. NSA и FBI выпустили предупреждения, призывая организации немедленно обновить PHP или временно отключить системы. Wiz в техническом отчёте назвал php2shell одним из трёх ключевых этапов в истории ПО (наряду с Heartbleed 2014 года и Log4Shell 2021 года).
Параллельно были обнаружены и другие серьёзные уязвимости:
* в GitLab — уязвимость максимальной серьёзности (CVSS 10.0, CVE-2026-110264), позволяющая выполнять произвольный код без входа в систему. Проблема связана с переполнением целых чисел в движке регулярных выражений Onigmo в Ruby. Уязвимость существует с 2014 года в GitLab 7.0. GitLab исправил уязвимость, внедрив патчи в семь версий: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13;
* в Node.js — более 10 уязвимостей, 4 из них — высокой степени опасности;
* в Nginx — 5 уязвимостей, включая переполнение буфера и использование после освобождения памяти;
* в сертификатах eMudhra — риск подделки идентичности сайтов и атаки «человек посередине». Индийский центр сертификации допустил ошибку при генерации 8 ключевых шифровальных сертификатов — из‑за отсутствия случайных чисел диапазон значений ключей сократился до 0–255. Mozilla за 3 часа заблокировала сертификаты через список отзыва, браузеры Google, Apple, Microsoft тоже их заблокировали, но многие небраузерные клиенты (curl, программы на Go, Docker‑образы) по‑прежнему доверяют проблемным сертификатам.
Кроме того, PingCAP сообщила об утечке данных в TiDB Cloud — украдено 10,6 ТБ данных, включая API‑ключи и информацию из репозиториев кода. Хакерская организация FulcrumSec заявила, что использовала учётные данные облачных сервисов (GCP и Azure) из внутреннего репозитория кода PingCAP, чтобы создать канал копирования данных. В ходе атаки каждые 6 часов полностью экспортировались данные производственного контрольного уровня — всего 88 раз без срабатывания оповещений. Среди утекших данных: 413 частных репозиториев кода, более 20 млн записей SQL‑запросов клиентов, десятки тысяч ключей клиентов (включая AWS‑корневой ключ Pinterest, токены GitHub для управления тысячами репозиториев, API‑ключи OpenAI и Anthropic), информация о внутренней архитектуре сетей клиентов и ценах по контрактам, личные email и страницы соцсетей более 20 тыс. разработчиков крупных технологических компаний.
В третьей неделе октября 2026 года отрасль ИТ и безопасности перешла в режим повышенной готовности. Ряд организаций в Нидерландах, Дании, Финляндии, Франции и других странах временно отключили сервисы: например, голландский национальный центр кибербезопасности закрыл свой сайт, датчане отключили национальную образовательную платформу, финны приостановили государственные ИТ‑сервисы, Викимедиа частично отключила системы.
AI сыграл ключевую роль в обнаружении и устранении уязвимостей. С его помощью быстро нашли PHP2Shell и четыре уязвимости в GitLab за месяц — скорость обнаружения выше, чем при ручном анализе. OpenAI возглавила транснациональное сотрудничество в рамках плана «Patch the Planet». Компания Calif с помощью модели GPT‑5.6 Sol обнаружила критические недостатки памяти, команда Wiz от Google использовала систему Atlas (многоагентную систему поиска уязвимостей) и самостоятельно выявила ту же группу уязвимостей. Система Atlas от Wiz обнаружила и подтвердила более 200 ранее неизвестных уязвимостей в основных открытых проектах.
Microsoft в октябре добавила в систему корпоративной безопасности «Guardian Agents» для контроля поведения и разрешений других AI‑агентов, чтобы предотвратить риски, связанные с превышением полномочий. Anthropic продвигает Project Glasswing: модель Claude внедряется в сферу энергетики, транспорта и других коммунальных услуг для постоянной защиты совместно с Hitachi и другими промышленными гигантами. AWS использует систему «MadPot» для мониторинга угроз — ежедневно фиксируется свыше ста миллионов потенциальных атак.
Компания Чжипу готовит к выпуску модель GLM‑5.5. Модель, оптимизированная для понимания кода, может стать эффективным инструментом для аудита безопасности. Ключевые технические направления в контексте безопасности включают рекурсивное самосовершенствование, циклическое повторное использование вычислительного слоя и автономное производство данных.
Jev ，
2026-09-21
API ，
2026-08-12
Подписаться в Макс
