Осень 2026 года ознаменовалась серией беспрецедентных инцидентов, где критические уязвимости в базовых библиотеках (Brotli, PHP, GitLab) и ошибки в блокчейн-архитектуре привели к массовым компрометациям и финансовым потерям. Общий вектор атак сместился от поиска «дыр» к эксплуатации узких окон уязвимости, когда даже отключенные компоненты или устаревшие версии ПО становятся точкой входа. Это демонстрирует, что традиционные модели защиты, полагавшиеся на своевременное обновление и изоляцию сервисов, перестали работать в условиях, когда эксплойты появляются мгновенно, а атаки накладываются на физические и цифровые границы.
Что произошло
В период с 26 по 27 октября 2026 года безопасность цифровой инфраструктуры подверглась одновременному удару со стороны программных и физических угроз. Ключевым событием стала массовая эксплуатация критической уязвимости CVE-2026-111497 в алгоритме сжатия Brotli, оцененной на 9,2 балла по шкале CVSS 4.0. Проблема, связанная с out-of-bounds записью, затронула версии библиотеки от 1.0.3 до 1.2.0, став причиной атак типа Node2Shell и HTTPS2Shell. Экстренные патчи выпустили Microsoft, PHP, Google и другие вендоры, однако список затронутого ПО продолжает расти, включая .NET, Node.js, Bun и прокси Envoy.
Параллельно с этим произошла катастрофа в блокчейне Initia, где программная ошибка в кэшировании виртуальной машины MoveVM позволила злоумышленнику создать фиктивные балансы и вывести реальные средства на сумму 2,7 млн долларов. Атака через межсетевые мосты LayerZero и Noble привела к остановке сети и колоссальным потерям резервов в других сетях, таких как Noble и Circle CCTP.
В сфере веб-серверов активизировалась эксплуатация уязвимостей PHP2Shell (CVE-2026-109618 и CVE-2026-109619), обеспечивающих удаленное выполнение кода. Несмотря на то, что атаки начались только 25 октября, после выпуска патчей, они привели к превентивному отключению сайтов государственных сервисов в ряде стран. Также была выявлена 12-летняя уязвимость в GitLab (CVE-2026-110264) с оценкой 10,0 баллов, затрагивающая все версии платформы с 2014 года.
На уровне конечных устройств в России распространяются Android-трояны (ZloyRAT), маскирующиеся под полезные приложения для водителей («ДПС радар», «ГосуVPN»), которые перехватывают SMS и крадут данные из банковских приложений. В контексте физической безопасности посол МИД РФ Родион Мирошник сообщил о 328 атаках ВСУ на гражданские автобусы в России с начала 2026 года, включая преднамеренные удары по школьным автобусам и ритуальным машинам.
Почему это важно
Главная угроза заключается в сбое фундаментальных допущений информационной безопасности. Уязвимость в Brotli показывает, что даже базовые библиотеки сжатия данных, используемые повсеместно, могут стать вектором для выполнения произвольного кода, если приложение явно включает распаковку запросов. Microsoft оценила вероятность эксплуатации как «весьма вероятную», что подтверждается волной экстренных патчей.
Инцидент с Initia иллюстрирует риски децентрализованных систем: ошибка в кэшировании позволила обойти проверки безопасности и подменить внутреннее состояние сети. Злоумышленник использовал механизм межсетевых мостов, где резервы реальных активов были выплачены на основе поддельных балансов. Это привело к тому, что резерв в сети Noble сократился с 1,09 млн долларов до 63 долларов за 36 минут.
Ситуация с PHP и GitLab подчеркивает критичность скорости реакции. В случае PHP окно между публикацией патчей и началом активной эксплуатации сократилось до 15 минут из-за развития ИИ-ассистентов для поиска уязвимостей. Это привело к тому, что по состоянию на 25 октября в рунете только пятая часть веб-сайтов из TOP 10 000 работала на исправленной версии. Аналогично, уязвимость в GitLab оставалась незамеченной 12 лет, затрагивая все self-managed версии начиная с 7.0, что ставит под угрозу тысячи инстансов.
Важно отметить, что отключение компонентов не всегда гарантирует безопасность. В случае Nextcloud (CVE-2026-110447) выключенное расширение Collabora Online могло по-прежнему пропускать команды злоумышленников через файл proxy.php, если встроенный CODE Server не был запущен. Это требует полной переустановки или удаления приложения, а не просто перезапуска службы.
Что за этим стоит
За серией инцидентов стоят системные изменения в ландшафте киберугроз. Развитие ИИ-ассистентов для поиска уязвимостей привело к тому, что проблемы в софте обнаруживаются быстрее, но также упростилась разработка эксплойтов. Практически исчезла задержка между выпуском патча и появлением рабочих методов эксплуатации, что вынуждает организации принимать превентивные меры, такие как отключение критически важных веб-сайтов.
В случае с Initia и Nextcloud видно, что атаки часто эксплуатируют узкие моменты в работе инфраструктуры: перезапуск контейнеров, состояние службы после обновления или ошибки в кэшировании. Злоумышленники используют эти моменты для внедрения команд операционной системы или подмены состояния сети.
Распространение троянов ZloyRAT в России демонстрирует эволюцию социальной инженерии: вредоносное ПО маскируется под востребованные инструменты в условиях кризиса (поиск топлива, доступ к госуслугам). Приложение устанавливает троян, способный собирать данные из более чем 60 приложений, включая банковские сервисы и Telegram.
Физические атаки на автобусы, о которых сообщил Родион Мирошник, показывают, что угрозы перетекают из киберпространства в реальный мир. Удары по гражданским автобусам, включая школьные и ритуальные машины, свидетельствуют о целенаправленном характере атак ВСУ, где киберразведка и физическое насилие тесно переплетены.
Что наблюдать дальше
Ключевым вопросом остается скорость обновления инфраструктуры. Для PHP это означает необходимость немедленного перехода на поддерживаемые версии (8.2+), так как для устаревших версий официальные исправления недоступны. Для GitLab администраторам придется устанавливать бэкпорты для старых веток, так как четыре последних версии уже не поддерживаются, но критичность бага требует исключения.
В блокчейн-секторе необходимо мониторить работу межсетевых мостов и механизмы резервирования активов. Ошибка в Initia показала, что подмена внутреннего состояния сети может привести к колоссальным финансовым потерям, даже если атака была локальной.
Для Nextcloud и подобных систем важно внедрить механизмы, которые гарантируют безопасность даже при отключенных расширениях, либо полностью отказаться от встроенных компонентов, если они не могут быть надежно изолированы.
В контексте конечных устройств пользователи должны быть предельно осторожны при установке приложений из сторонних источников, особенно в условиях кризиса, когда мошенники активно используют темы топливного кризиса и доступа к госуслугам. Рекомендуется отключать установку приложений из неизвестных источников и сканировать устройства антивирусом.
Наконец, в условиях гибридных угроз, где кибератаки могут привести к физическому насилию, необходимо учитывать, что безопасность инфраструктуры должна включать не только защиту данных, но и мониторинг угроз в реальном мире, особенно в регионах, подверженных конфликтам.