ИИ находит лазейки в сайтах быстрее, чем их закрывают. Что проверить на своём сервере - и готовая инструкция для техспециалиста / службы поддержки

Коротко. Новые модели ИИ находят ошибки в серверных программах за часы, а злоумышленники начинают их использовать за считаные дни. Только за октябрь 2026 серьёзные уязвимости нашли в PHP, WordPress, ядре Linux, nginx и Node.js. Хорошая новость: почти для всего уже есть обновления.

Мы собрали самое важное в одном месте: что случилось, касается ли это вас и что сделать. В конце - готовая таблица задач с приоритетами. Её можно сразу переслать разработчику, администратору сервера или в поддержку хостинга.

Если ваш сайт или канал работает на платформе вроде ВКонтакте, Telegram или Tilda, делать ничего не нужно - обновлениями там занимается сама платформа.

Что происходит

За октябрь 2026 года в самом массовом серверном софте нашли сразу несколько дыр, через которые чужой человек может без логина и пароля запустить свой код на вашем сервере. Это PHP, WordPress, ядро Linux, nginx, Node.js. Две из них уже используют в реальных атаках.

Самое опасное прямо сейчас - PHP2Shell (две уязвимости в PHP). Американское агентство CISA 26 октября подтвердило атаки, а по оценке Censys в сети более 32,5 млн PHP-сервисов на уязвимых версиях (The Hacker News). Второе - дыра в самом WordPress, которую атакуют с 29 октября.

Отдельная проблема - ядро Linux: критическая ошибка в обработке TCP-соединений. Debian, Oracle Linux, SUSE и частично Amazon Linux заплатку выпустили, а Ubuntu и Red Hat - на 30-31 октября ещё нет (The Hacker News).

Кого касается, а кого нет

Не касается, если ваш сайт, страница, группа, паблик или канал живёт на чужой платформе: ВКонтакте, Telegram, конструкторы вроде Tilda или Wix, маркетплейсы и т. п. Серверы там обновляет компания-владелец, от вас ничего не требуется.

Касается, если проект ваш собственный:

• Свой сервер (VPS/VDS, выделенный, домашний). Отвечаете за всё: систему, ядро, PHP, nginx/Apache, SSH, CMS.
• Обычный хостинг с панелью. Систему, ядро и веб-сервер обновляет хостер. Но версию PHP в панели, сам WordPress (или другую CMS) и плагины обновляете вы.
• Проект на Node.js / Next.js / Python, который вы или ваш разработчик развернули сами.

Если не знаете, к какому типу относится ваш сайт, - перешлите эту статью тому, кто его делал или обслуживает.

Почему это происходит

В начале сентября вышли две самые сильные публичные модели ИИ: Claude Fable 5.1 (1 сентября) и GPT-6 Astra (3 сентября). OpenAI сама отнесла Astra к уровню «критической» опасности в кибербезопасности: в тестах модель находила неизвестные уязвимости и собирала из них рабочие атаки (TechCrunch).

Теперь ИИ ищет ошибки быстрее, чем люди успевают их чинить и устанавливать заплатки. Примеры октября, подтверждённые источниками:

• дыру в декодере Brotli (Node.js и др.) нашла команда Codex Security из OpenAI;
• для дыры в ядре Linux внутренняя модель Anthropic написала эксплойт с правами root примерно за 53 минуты (BleepingComputer);
• в атаке PHP2Shell на 25 серверов на инфраструктуре злоумышленников нашли ИИ-инструменты (The Hacker News);
• команда OpenSSH прямо написала, что получает много отчётов об ошибках, найденных с помощью ИИ, и будет выпускать обновления чаще (LWN).

Итог: окно между «дыру нашли» и «дыру атакуют» сократилось до дней. Сайт, который обновляли «раз в полгода», теперь в зоне риска.

Какие именно проблемы (просто список, а инструкция/чек-лист ниже)

Отсортировано по риску для владельца личного сайта: учтены тяжесть, массовость и то, атакуют ли уже. «Захват» = чужой код на сервере: кража базы, вирус, рассылка спама, удаление сайта.

OpenSSH в конце списка не случайно: громких «дыр в SSH», дающих вход без пароля, в октябре не было. Главные риски сейчас - PHP и WordPress.

Что с этим делать

Главное правило: обновить и перезапустить. Обновление без перезапуска службы или сервера часто не работает - старый код остаётся в памяти.

1. Сегодня - PHP. Узнайте версию (в панели хостинга или командой php -v). Нужна 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 или новее. На 8.1 и старше заплатки не будет: CISA советует такие сайты отключать до перехода на новую версию.
2. Сегодня - WordPress. Консоль → Обновления → версия 7.1.4. Затем обновите все плагины и удалите неиспользуемые.
3. На этой неделе - ядро Linux (только свой сервер). Debian, SUSE, Oracle - ставьте обновление и перезагружайтесь. Ubuntu и RHEL - следите за выходом заплатки и ставьте в день выхода.
4. На этой неделе - остальное: nginx, Apache, Node.js, Next.js, Laravel, Python-пакет Brotli - по таблице ниже, если это у вас есть.
5. Проверьте, не взломаны ли уже. Посторонние .php-файлы в папке загрузок, новые администраторы в CMS, незнакомые процессы и cron-задачи.
6. Сделайте свежую резервную копию сайта и базы - до обновлений и храните её не на том же сервере.
7. Включите автообновления безопасности (для Ubuntu/Debian - пакет unattended-upgrades) и подпишитесь на рассылки безопасности своего дистрибутива.

На обычном хостинге шаги 3-4 - зона хостера. Напишите в поддержку: «Установлены ли заплатки CVE-2026-109618, CVE-2026-109619 и CVE-2026-98432?»

Инструкция (чек-лист) для техспециалиста и поддержки хостинга

Важно! Таблицу можно переслать как есть - разработчику, администратору сервера или в поддержку хостинга.

Риск - оценка редакции для личного проекта (10 = чинить сегодня). Строки, которых у вас нет, отметьте «Не применимо». После любого обновления - перезапуск службы, после ядра - перезагрузка.

В дистрибутивах (Debian, Ubuntu, RHEL) номер версии пакета может не совпадать с номером официального релиза: исправления переносят в старые версии. Проверять нужно по трекеру безопасности дистрибутива и номеру CVE, а не по цифрам версии.

Оговорки и источники

Данные собраны по состоянию на 2 ноября 2026. Статус заплаток меняется ежедневно - перед публикацией перепроверьте строки про Ubuntu и RHEL.

• Оценки риска /10 - редакционные, для владельца личного проекта. Официальные оценки (CVSS) указаны в разделе «Какие именно проблемы».
• Ядро Linux: оценки расходятся - 9,8 у команды ядра, 5,9-8,1 у Red Hat, SUSE, Oracle, Amazon. Код эксплойта Anthropic не опубликован, независимого воспроизведения на 30.10 не было.
• Дыра в ядре WordPress: на 30.10 номер CVE ещё не присвоен.
• Неофициальные временные меры (например, фильтры сетевых пакетов против дыры в ядре) в статью не включены: вендоры их не подтвердили.
• Охват - серверное ПО для личных сайтов. Уязвимости в корпоративном оборудовании (Cisco, Ivanti, Palo Alto и т. п.) не разбирались.

Проверено по полным текстам статей:

• The Hacker News - CISA подтвердила атаки PHP2Shell
• The Hacker News - PHP2Shell: взлом 25 серверов
• The Hacker News - дыра в TCP ядра Linux
• The Hacker News - Brotli: Node.js, Bun, Python
• Daily CyberSecurity - атаки на ядро WordPress
• DEV - Next.js, Node.js, PHP, Laravel за октябрь