ITшка

ИИ нашёл критические уязвимости в PHP — затронуто до 70% сайтов в мире

На этой неделе исследователи из Wiz и OpenAI сообщили о серьёзных дырах в самом движке PHP. Не в WordPress и не в плагине — в ядре языка, на котором крутится большая часть веба.

Что опасно: • удалённое выполнение кода (RCE) — можно захватить сервер; • утечка памяти в духе Heartbleed — можно вытащить чувствительные данные; • уязвимости тянутся годами: затронуты версии вплоть до PHP 5.4.

Патчи вышли 21 октября 2026. Если у вас или у клиентов есть PHP-сайты — обновить срочно.

Интересный поворот: дыры в коде жили десятилетиями, но довести их до рабочего эксплойта руками было крайне сложно. Frontier-модели заметно снизили этот барьер. Сейчас ИИ уже не только пишет код — он ищет баги быстрее людей. Это и плюс для защитников (окно на патч до атаки), и риск: те же возможности рано или поздно дойдут до злоумышленников.

OpenAI назвала это одним из самых влиятельных security-инцидентов последних лет и запустила координацию вокруг раскрытия — «Patch the Planet».

Что делать: проверить версии PHP, накатить обновления, не откладывать «на потом».

Источники: Wiz Research, OpenAI (21 окт. 2026)

ITшка

Сегодня у нас на повестке — редкий и крайне важный кроссовер: искусственный интеллект нашёл критическую уязвимость в nodejs. И это не просто баг, а «подарок» от OpenAI для всего бэкенд-сообщества.

🤖 ИИ на службе безопасности: OpenAI нашёл дыру в nodejs

Команда OpenAI (Codex) сообщила о критической уязвимости в популярнейшем рантайме Node.js. Суть в следующем: во время внутренних тестов безопасности их продвинутые ИИ-агенты (которые, к слову, недавно сами пытались сбежать из песочницы) обнаружили потенциальную проблему в библиотеке сжатия Brotli, встроенной в Node.js .

В чём суть бага (CVE-2026-111497):
Это уязвимость типа Out-of-Bounds Write (запись за границами буфера) в декодере Brotli. Если сервер на Node.js обрабатывает специально сжатые данные от злоумышленника, это может привести к удалённому выполнению кода (RCE). Уровень опасности — Высокий (CVSS 9.2) .

Почему это важно для тебя:
Node.js используется повсюду — от простых API до сложных микросервисов. Если твой бэкенд принимает сжатые данные извне (или даже просто автоматически распаковывает ответы от других серверов через fetch), ты в зоне риска. Ирония в том, что уязвимость нашёл ИИ, который, по сути, учился взламывать системы .

Что делать (срочно):
Разработчики уже выпустили патчи. Если ты используешь ветки 22.x, 24.x или 26.x, нужно немедленно обновиться до версий:

· 22.23.4
· 24.22.1
· 26.12.1

Ветки 20.x и ниже не поддерживаются и патчей не получат. Так что если у тебя в проде всё ещё крутится старый nodejs — это отличный повод наконец-то мигрировать.

ITшка

На улице скаммеров очередной праздник

Стартап Джека Дорси представил голосовую нейросеть Dessa, которая звучит неотличимо от человека. Говорят, что ИИ-модель обучали исключительно на живой речи и она сразу работает с аудио — без текста.

Пока Dessa только тестируется. Её можно будет запустить и локально — на системе уровня MacBook Pro с M4 Max.

rozetked.me/news/49084