Дневной обзор · Уязвимости PHP и ИИ-угрозы · 23.10.2026

Главное

PHP2Shell: глобальный кризис безопасности

Исследователи из Calif и Wiz обнаружили две критические уязвимости удаленного выполнения кода в PHP (CVE-2026-109618 и CVE-2026-109619), получившие название PHP2Shell. Дефекты присутствовали в ядре языка более десяти лет и затрагивают все версии начиная с 5.4. По оценкам, около 70% всех веб-сайтов используют PHP, а 40% пользователей работают на неподдерживаемых версиях (8.1 и старше). Уязвимости были найдены с использованием ИИ-моделей GPT-5.6 Sol от OpenAI в рамках инициативы Patch the Planet.

После утечки номеров CVE 20 октября PHP Foundation экстренно выпустила обновления для всех поддерживаемых версий к 14:00 UTC 21 октября. Zend и другие провайдеры LTS также выпустили патчи для прекративших поддержку версий. Wiz Research подтвердил, что атакующие могут выполнить код или извлечь чувствительные данные (пароли, токены, API-ключи) из памяти процесса. Datadog Security Labs продемонстрировала, что защита на уровне приложения не работает, так как PHP обрабатывает вредоносный запрос до запуска кода приложения.

В ответ на угрозу Германия, Франция, Бельгия и Нидерланды временно отключили государственные веб-сайты. В Японии Nomura, ANA и MUFG приостановили часть интернет-сервисов. Cloudflare зафиксировала миллионы попыток эксплуатации в первые часы после анонса. FBI и CISA рекомендовали организациям немедленно обновить системы или вывести их из сети, если обновление невозможно. Эксперты предупредили, что ИИ ускоряет обнаружение уязвимостей, сжимая окно для реакции.

Евросоюз: поправка к GDPR для ИИ

Совет ЕС 21 октября одобрил изменение в GDPR (статья 88bis), согласно которому обработка персональных данных «в контексте ИИ» автоматически становится правомерной без необходимости получения согласия пользователя. Инициатива является частью предложения «Digital Omnibus» и была принята с поддержкой Германии и других ключевых стран, при этом Ирландия председательствует в Совете.

Поправка позволяет любой ИИ-системе по умолчанию законно использовать любые персональные данные независимо от цели. Совет добавил ссылки на существующие права (статьи 21 и 24 GDPR), однако Max Schrems из NOYB заявил, что эти права применяются к любой обработке и не требуют новых материальных гарантий в рамках новой статьи. Также обсуждается сужение определения «персональных данных» через псевдонимы, что может вывести из-под действия GDPR системы, использующие пользовательские ID, IP-адреса и номера социального страхования.

Соглашение достигнуто в ускоренном порядке без оценки фундаментальных прав. Теперь Совет должен вести переговоры с Европарламентом в трилогах; позиция Европарламента пока не сформирована. Если поправка будет принята, это фундаментально изменит комплаенс-ландшафт для организаций, обрабатывающих персональные данные ЕС в контексте ИИ.

Финансы и рынки: SK Hynix и Moderna

SK Hynix приостановила рассмотрение вариантов pre-IPO и IPO для своей дочерней компании Solidigm, специализирующейся на NAND-флеш-памяти. Решение принято после оценки условий на рынке капитала и тенденций в ценах акций. Южнокорейская служба финансового надзора (FSS) ранее предупредила, что потенциальное листирование Solidigm в США может нарушать правила, ограничивающие двойные листинги, и требовать проверки для защиты миноритарных акционеров.

Solidigm была создана пять лет назад после покупки подразделения Intel за 9 млрд долларов. Компания рассматривала IPO как способ привлечения внешнего капитала для строительства нового завода в США и удовлетворения растущего спроса на память для ИИ. Оценочная стоимость Solidigm могла составить до 150 млрд долларов. В тот же день Nasdaq Composite упал на 2,6%, акции Nvidia снизились на 4,4%, а AMD — на 8,1%.

Moderna и Merck сообщили о результатах фазы 3 испытаний персонализированной вакцины intismeran в комбинации с Keytruda: снижение риска рецидива меланомы или смерти на 42% (hazard ratio 0.58). Испытания включали 1137 пациентов со стадиями IIB–IV. Однако акции Moderna упали на 25% после того, как Oncology Central преждевременно опубликовала эмбаргированные данные. ESMO подтвердила нарушение и сняла эмбарго; полная презентация запланирована на субботу в Мадриде.

Регуляторика и кибербезопасность

Резервный банк Индии (RBI) выпустил предписание 19 октября, требуя от банков и платежных компаний форензически очистить технические среды и усилить контроль кибербезопасности после предупреждения CERT-In об использовании ИИ-агентов в атаках. CERT-In сообщил, что агентные инструменты сократили время между начальным доступом и конечным воздействием с нескольких дней до нескольких часов. RBI направил регуляторам удалить административные интерфейсы из публичного доступа, внедрить многофакторную аутентификацию и ограничить доступ к облачным системам по принципу минимальных привилегий.

В Индии также предложен механизм SIM-привязки для мессенджеров: приложения, связанные с индийскими номерами телефонов, должны будут проверять наличие активной SIM или eSIM на устройстве. Требования вступят в силу 1 января 2027 года и затронут WhatsApp, Telegram и другие сервисы. Цель — борьба с киберпреступностью, включая фишинг и финансовые мошенничества.

В Японии Министерство внутренних дел и коммуникаций опубликовало черновик руководящих принципов, обязывающих 13 крупных операторов социальных сетей (включая Google и X) проверять пользователей монетизации, приостанавливать функции, влияющие на честность выборов, и маркировать вредоносный контент, сгенерированный ИИ. Публичные комментарии начнутся 24 октября; формальное принятие возможно к концу года.

Инфраструктура и вычисления

Nvidia CEO Jensen Huang посетил Казахстан, заявив, что страна может стать центром вычислений для всей Европы. В июне правительство Казахстана объявило о планах инвестиций в 10 млрд долларов в ИИ-инфраструктуру в партнерстве с Firebird, включая кластер из 100 000 передовых GPU. Data Center Valley в Экибастузе имеет доступную мощность 300 МВт с планами расширения до 1 ГВт. Nvidia намерена инвестировать в расширение ИИ-инфраструктуры Firebird мощностью около 2 ГВт в Армении, Казахстане и других рынках.

Schneider Electric согласилась приобрести промышленного софтверного разработчика PTC за 22,6 млрд долларов. Сделка станет крупнейшим приобретением Schneider, превысив покупку Aveva за 11 млрд долларов в 2023 году. Это третья сделка на сумму более миллиарда для компании в этом году. Axios отмечает, что мега-слияния в секторе ПО редки в 2026 году из-за неопределенности, связанной с ИИ.

AWS объявила о общей доступности сессий обучения в Amazon SageMaker AI, позволяя разработчикам контролировать процесс обучения существующих моделей, пока AWS управляет GPU. Поддерживаются модели gpt-oss-20b, gemma-4-31B-it, Qwen3.6-27B и Qwen3.8-27B. Оплата производится по обработанным токенам, а не по резервированию GPU. Данные обучения и контрольные точки моделей хранятся в S3-хранилищах клиентов в выбранном регионе.

Разное: от Apple до SpaceX

Apple запустила складной iPhone Duo в Индии по цене до 449 900 рупий. Устройство распродалось в течение часа, а новые заказы показывают сроки доставки в январе. Counterpoint Research оценивает продажи на уровне 6 млн единиц в 2026 году, что составляет 25% глобальных поставок складных смартфонов. Apple ограничила покупки двумя устройствами на одного клиента в онлайн-магазине.

SpaceX отказалась от трех военных контрактов на запуски, предложенных Космическими силами США. Компания также заявила, что Starlink стал менее надежным в Украине из-за политических взглядов Илона Маска и последних сбоев в обслуживании. Трамп подтвердил, что Маск снял ограничения на скорость для украинских военных, но отказался комментировать, кто именно отдал приказ.

Meta создала новый класс акций Class C без права голоса, чтобы Mark Zuckerberg мог продать до 20% выданных акций для оплаты потенциального налога на богатство по Proposition 40 в Калифорнии без потери контроля над голосованием. Zuckerberg обязался оставаться в Калифорнии восемь лет. Опрос Citrin-Politico показал, что 46% калифорнийцев поддерживают Proposition 40 против 43% против.

Наша оценка

Раскрытие уязвимостей PHP2Shell демонстрирует, как ИИ ускоряет обнаружение критических дефектов в легаси-коде, сжимая окно для реакции до часов. Для организаций, использующих PHP, это означает немедленную необходимость аудита и патчинга, так как защита на уровне приложения неэффективна. Одновременно одобрение поправки к GDPR Советом ЕС сигнализирует о потенциальном ослаблении защиты персональных данных в контексте ИИ, что потребует пересмотра комплаенс-стратегий при принятии финального текста. Приостановка IPO Solidigm и падение акций Moderna после утечки данных указывают на повышенную чувствительность рынков к регуляторным и операционным рискам в секторе ИИ и биотеха.

Материал подготовлен автоматически системой на основе больших языковых моделей по открытым источникам, перечисленным ниже; это AI-генерированный контент, в нём возможны неточности — проверяйте факты по первоисточникам.

Источники