Атаки по $50: как ИИ-агенты меняют экономику взлома

Реклама. ООО «ТАЙМВЭБ.КЛАУД», ИНН 7810945525.

Ещё недавно критическая уязвимость в самом PHP или побег из виртуальной машины выглядели как «событие года». В октябре 2026 похожие новости сыпались пачками: то чинят рантайм, на котором крутится треть веба, то отзывают цепочку доверия TLS, то в PyPI и GitHub Releases подсовывают троян вместо привычного обновления.

Отдельно — не баг в чужом коде, а смена цены атаки. Reuters (материалы от 19 октября 2026) описал кампанию, где оператор почти не «сидел» на целях: ИИ-агенты сами часами искали слабое место. Оценка исследователя NorForge — порядка $50 токенов на один успешный взлом при попытках на тысячу с лишним сайтов. Ниже — что из этой волны реально важно владельцу сайта, VPS и self-hosted стека, и чем «дыра» отличается от уже случившегося взлома.

Сначала про деньги, потом про CVE

Классическая модель «хакер вручную неделями ковыряет один жирный сайт» никуда не делась, но рядом появилась другая: короткий бриф агенту + автопрогон по списку целей. По отчёту, который разбирал Reuters, один из операторов (китайскоязычный) с конца сентября гонял агентов по e-commerce в США, Канаде, Австралии и Японии. Попыток — больше 1200, успешных компрометаций сайтов — больше сотни. Типичный успешный заход занимал около суток автономной работы. Смесь моделей вроде DeepSeek и Claude Code «съела» порядка $5000 токенов на всю кампанию — отсюда и грубая цифра ~$50 за удачный кейс.

Важно: Reuters отдельно оговаривает, что масштаб кражи данных по каждой жертве до конца не ясен. Часть компаний говорила о локальном сайте поддержки или вендоре, а не о «всем периметре». Удешевление атаки ≠ автоматический апокалипсис для каждого WordPress — но порог входа для массового сканирования реально падает.

Для защиты это неприятный сдвиг. Раньше «достаточная» гигиена часто означала: закрыть очевидные дыры и не быть самой вкусной целью. Теперь автомат дешевле перебирает и скучные сайты. Выигрывает не тот, у кого красивый WAF в рекламе, а тот, у кого быстрее патч, меньше торчащего PHP/панелей и привычка крутить секреты после любого supply-chain инцидента.

Октябрьская «каша»: четыре разных класса событий

В лентах всё смешали в один список «интернет взламывают». Разумнее разложить по типам — от этого зависит, что делать сегодня вечером.

1. Дыра в самом рантайме: PHP2Shell

PHP2Shell — разговорное имя для CVE-2026-109618 и CVE-2026-109619 (оценка PHP около 9.2 по CVSS v4). Это не «плагин WordPress криво написали», а проблема в движке PHP при обслуживании веб-запросов. Затронуты типичные SAPI: mod_php, PHP-FPM, cgi и др. Фиксы в ветках вроде 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 (актуальный список — в advisory PHP и сводках вроде NCSC-NL/php2shell).

Оценка «до десятков миллионов инсталляций под угрозой» — про охват экосистемы PHP в интернете, а не про подтверждённый счётчик уже взломанных сайтов. Для нас практический вывод простой: обновить PHP на всех веб-серверах и в Docker-образах, не ограничиваясь «у меня же WordPress свежий». Старые 8.1− без апстрим-поддержки — отдельная боль: ждать бэкпортов дистрибутива или ускорять миграцию.

2. Максимальный балл на своём GitLab

Параллельно GitLab закрыл CVE-2026-110264 с CVSS 3.1 = 10.0: целочисленное переполнение в компиляторе регулярных выражений, в описанных условиях — RCE без аутентификации на self-managed. Чинить ветки вроде 19.5.1 и соседние патч-релизы из advisory; GitLab.com у вендора уже на своей стороне. Runner обновить ≠ обновить сам GitLab.

Если держите GitLab «для семьи и пет-проектов» с портом наружу «на всякий случай» — это как раз тот класс систем, которые агенты любят: предсказуемый софт, ценный исходник, часто слабый периметр.

3. Гипервизор: PwnEscape

PwnEscape (в публичных разборах фигурирует как критический guest→host сценарий вокруг KVM/сети, CVE в публикациях исследователей) — про другое: не «взломали мой блог», а «гость может достать хост». Для домашнего Proxmox с доверенными ВМ риск иной, чем у облака с чужими песочницами. Имеет смысл: следить за ядром хоста, не оставлять лишний virtio offload там, где гости полудоверенные, не путать «обновил гостя» с «обновил гипервизор».

4. Доверие и цепочки поставок

• eMudhra / emSign — слабая генерация ключей у промежуточных CA (по сути ничтожная энтропия вместо полноценного rand на 256 бит). Браузеры и root-программы начали экстренно реагировать. Смысл для владельца сайта: следить за отзывами доверия и перевыпуском цепочек, если сертификат завязан на затронутые промежуточные.
• LiteLLM 1.107.0 — не «нашли CVE», а отравленный релиз в PyPI/образах: стилер секретов. Лечится не «pip install -U» в заражённом venv, а изоляцией, чистой пересборкой и ротацией всего, до чего процесс мог дотянуться.
• OVHcloud CLI — подмена бинарников на GitHub Releases на ~1,5 часа 19 октября (v0.11–0.15 в окне загрузок). Исходники и CI, по заявлению OVH, не трогали; помогла (и подвела) мутабельность релизов. Кто скачал в окне — чистить машину и крутить секреты; ≥0.16.0 чистый.
• Zeabur и похожие платформенные истории — утечки env/секретов и данных аккаунтов: даже если «переменные уже ротировали», пароли внутри БД и ключи у интеграций живут своей жизнью. Railway / OpenCode в лентах часто идут с пометкой «утечка / ещё уточняют» — не копируйте заголовки до primary source.

Отдельно мелькают истории про массовые атаки на корпоративные облака Microsoft и прочие APT с «AI в пресс-релизе». Их полезно читать как фон, но чеклист на вечер строить по вашему стеку: PHP, панели, Git, CLI, .env.

Почему кажется, что «чинить не успевают»

Скорость публикации дыр выросла вместе с инструментами поиска (в том числе LLM-assisted research). Скорость патча у апстрима PHP/GitLab/ядра тоже высокая — часто часы и дни, не месяцы. Узкое место — длинный хвост: хостинги с PHP 8.1 «пока работает», забытый GitLab в LXC, Docker-образ WordPress годичной давности, CI, который тянет latest, и привычка ставить CLI с GitHub без проверки хеша.

ИИ здесь бьёт дважды: быстрее находит классы багов и дешевле эксплуатирует уже известные и полуизвестные поверхности (устаревший софт, открытые панели, утечки ключей). Предупреждения вроде обсуждений Anthropic про риски самоусиливающихся агентных сценариев — про горизонт; октябрьская практика уже прозаичнее: чужие агенты + ваши незакрытые обновления.

Что сделать на своём контуре (без паранойи)

Отдельно про WordPress и «34 миллиона»

Если сайт на PHP, приоритет — рантайм и хостинг-образ, не поиск волшебного плагина «от PHP2Shell». Плагины и темы по-прежнему надо обновлять, но они не закроют дыру в самом интерпретаторе. На shared-хостинге уточните у панели, когда выкатили пакеты; на VPS — вы сами.

Self-hosted рядом с «облаком для кода»

Чем больше у вас GitLab, агентов сборки, CLI облаков и Python-шлюзов к моделям, тем выше цена одного отравленного обновления. Имеет смысл держать секреты вне «удобного» env на чужой платформе, где это возможно, и не смешивать рабочий ноутбук с экспериментом pip install из трендового README.

Как читать такие сводки и не сойти с ума

• Отделяйте уязвимость (нужен патч) от инцидента (уже утёкшие секреты / подмена бинарника).
• Ищите primary source: PHP.net / GitHub Security Advisory / пост вендора, а не только телеграм-карусель.
• Цифры вроде «миллионы под угрозой» — про поверхность атаки; ваш риск определяется версией и экспозицией.
• Истории про AI-агентов полезны как мотивация ускорить гигиену, а не как оправдание всё выключить и уйти в лес.

Поводом пересобрать эту картину стала плотная лента новостей в духе сводки @el_pinguino_channel; факты выше сверены с публичными разборами Reuters, advisory PHP/GitLab/OVH и отчётами по supply chain — без копирования чужого текста блоком.

Краткий вывод

Интернет не «внезапно сломался за две недели». Сломалась привычка считать критический RCE редким праздником, а взлом — дорогим ручным трудом. ИИ-агенты делают разведку и эксплуатацию дешевле; октябрь 2026 одновременно ударил по PHP, self-managed GitLab, цепочкам доверия и привычке доверять «просто скачанному с GitHub» бинарнику.

Практичный ответ тот же, что и десять лет назад, только жёстче по срокам: патчить рантайм, сужать поверхность, ротировать секреты после supply-chain, иметь бэкап. $50 за чужой успешный заход — плохой аргумент «меня это не касается», если ваш стек всё ещё на автопилоте прошлого года.

Подписаться на новые статьи

Каналы и RSS. Без почты и рассылок.

RSSДзенMAXTelegramВК