Прошлая неделя показала несколько знаковых инцидентов. Коротко, что произошло.

PHP. Найдены две критические уязвимости в рантайме (CVE-2026-109618, CVE-2026-109619, рейтинг 9.2) — выполнение произвольного кода без аутентификации. Патчи вышли 21 октября. Затронуто до 70% сайтов.

GitHub. Скомпрометированы около 1900 учётных записей разработчиков, через их права в 30 тысячах репозиториев появились посторонние GitHub Actions, собиравшие секреты из настроек сборки и истории коммитов. Платформа цела — атаковали украденные токены.

LiteLLM. Python-пакет с 23 млн загрузок в неделю несколько часов провисел на PyPI, Docker Hub и GHCR в заражённом виде. Вредоносный код подгружался при старте любого Python-процесса.

Tensorlake (npm), ConnectWise Cloud Backup, AOMEI Backupper, BeyondTrust Remote Support, OVHcloud CLI, OpenCode Console, Nikkei, Studio. Разные векторы, разные масштабы, одна неделя.

Ни один из этих случаев не является тотальной катастрофой. Однако, их количество это сигнал.

Что изменилось на самом деле Главная деталь прошлой недели прошла мимо заголовков. Уязвимости в PHP нашли нейросетью.

Их обнаружили две независимые команды — исследователи в рамках инициативы OpenAI «Patch the Planet» и специалисты Wiz — практически одновременно, в августе. Обе работали с помощью ИИ. Баг при этом жил в коде четырнадцать лет. Не месяц, не год. Четырнадцать лет его не находили люди, и нашли модели.

Вот это и есть смена фазы, а не сам факт патча.

Раньше скорость обнаружения уязвимостей ограничивалась людьми. Аудиторов мало, ручной анализ дорогой, на один проект уходили недели. Отсюда и возникала иллюзия, что старый код «устоялся» и трогать его не надо. Он не устоялся — его просто никто не смотрел внимательно.

Теперь смотрит ИИ. Дёшево, параллельно, без устали. Находки пойдут плотнее, и это не разовая история — это новый нормальный темп. Google в этом году прямо предупредил, что ИИ ускорил превращение известных уязвимостей в рабочие эксплойты. Один и тот же инструмент работает с обеих сторон: и на поиск, и на атаку.

Из этого следует неприятный, но честный вывод. Окно между публикацией уязвимости и её эксплуатацией сжимается. Раньше у команды были недели, чтобы спокойно обновиться. Сейчас — дни, иногда часы. И это будет только ускоряться.

Почему на безопасности больше не сэкономить. Раньше решения по ИБ принимались по остаточному принципу, и это было рационально. Аудит дорогой, вероятность инцидента казалась низкой, а бюджет нужен здесь и сейчас. Отложить обновление на квартал — нормальная практика. Сэкономить на ротации ключей — вообще бесплатно.

Но арифметика поменялась. Стоимость находки упала. То, что раньше требовало команды аудиторов и месяцев работы, теперь делается инструментом за вечер. Значит, ваши дыры найдут. Вопрос не «если», а «когда и кто первый».

Стоимость атаки упала. GhostAction не требовал ни уязвимости в GitHub, ни сложной техники — хватило украденных токенов и готовых скриптов. LiteLLM сломали, скомпрометировав три OAuth-сессии. Порог входа в атаку опустился до уровня «есть доступ к слитой базе токенов».

Стоимость обновления осталась той же. А она не такая уж высокая. Обновить PHP, перевыпустить ключи, проверить конфигурации — это может занимать от пары часов до пары дней (в незапущенных случаях). Да, неприятно, но не дорого.

Получается, что раньше экономия на ИБ была оправдана: риск был размыт, последствия отложены. Сейчас риск перестал быть размытым, а последствия приходят быстрее, чем вы успеваете провести плановый аудит. Экономия превратилась в отложенный платёж с растущей ставкой.

Вывод Неделя была шумной, но по существу всё управляемо. Большая часть последствий закрывается обновлением и перевыпуском ключей.

Важно другое. Ранее писали, что рынок перестраивается: массовый код уходит, растёт ценность экспертизы. Ровно то же происходит с безопасностью. Она перестала быть отдельной функцией, которую можно делегировать подрядчику и забыть. Она стала свойством продукта — таким же, как скорость или надёжность.