Деньги пришли только после кризиса. После Heartbleed дюжина компаний пообещала по 100 000 долларов в год в течение трёх лет через Core Infrastructure Initiative, а два разработчика OpenSSL стали работать на полной ставке.
Назад к тренду дня: Две уязвимости PHP дают чужим захватить сайты; часть сайтов отключили ради безопасности
Рейтинг Poly · из тренда дня
Худшие уязвимости в интернете: Log4j, Heartbleed, PHP 2026
До Heartbleed библиотека шифрования, на которой держится большая часть HTTPS-серверов в интернете, жила примерно на 2 000 долларов в год пожертвований. Семь лет спустя Log4Shell с оценкой 10,0 атаковали не меньше чем за восемь дней до публичного предупреждения.
- №1: Log4Shell (Log4j, CVE-2021-44228)
- 10 мест
01Итоговый список
Ведущие ИИ независимо составили свои списки из десяти мест. Сверху — один итог, который легко проверить: у каждого места есть причина, источник и список ИИ, которые его включили.
Порядок: от большего согласия ИИ к меньшему.
Яркая плашка — этот ИИ включил пункт в свой список. Тусклая — не включил.
- 1
Log4Shell (Log4j, CVE-2021-44228)
Максимальная оценка 10,0, пароль для атаки не нужен. Атаковать начали с 1 декабря 2021 года, за восемь дней до предупреждения. Бесплатные сопровождающие: по данным источников, 3 или 16 добровольцев.
Включили: Claude, Meta, Nemotron, Gemini. Не включили: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.В их списках: Claude: 1 · Meta: 1 · Nemotron: 6 · Gemini: 1
Что отметил каждый ИИ 4
- Claudeместо 1
Cloudflare зафиксировала успешную атаку 1 декабря 2021 года, как минимум за девять дней до публичного предупреждения. Код поддерживала группа добровольцев, которым фонд Apache не платил.
Источник ↗ - Metaместо 1
Perfect 10.0 CVSS, 400k exploit attempts in 2 days, 30% still vulnerable after 60 days, fixed by 16 unpaid volunteers
Источник ↗ - Nemotronместо 6
Duplicate entry; see rank 1.
Источник ↗ - Geminiместо 1
A single line of text in a free logging package run by three unpaid volunteers exposed an estimated three billion devices across the world's largest cloud providers.
Источник ↗
4 ИИ поставили сюда - 2
Heartbleed (OpenSSL, CVE-2014-0160)
Оценка всего 5,0 (v2) или 7,5 (v3), хотя уязвимость раскрывала закрытые ключи. Примерно 600 000 серверов были уязвимы, а через два месяца ещё около 300 000. OpenSSL получала около 2 000 долларов в год.
Включили: Claude, Meta, Nemotron, Gemini. Не включили: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.В их списках: Claude: 2 · Meta: 2 · Nemotron: 2 · Gemini: 2
Что отметил каждый ИИ 4
- Claudeместо 2
CISA добавила её в список эксплуатируемых уязвимостей только 4 мая 2022 года, через восемь лет после исправления. А фонд, стоящий за OpenSSL, до кризиса, по сообщениям, имел одного штатного сотрудника и около 2 000 долларов пожертвований в год.
Источник ↗ - Metaместо 2
600k servers initially vulnerable, 309,197 still leaking memory after 2 months, OpenSSL had $2,000 yearly donations and 4 volunteers
Источник ↗ - Nemotronместо 2
CVSS 7.5 but exposed private keys of ~17% of HTTPS sites; exploited within hours; patching took months for many; OpenSSL had ~4 core developers, <$1M/yr funding.
- Geminiместо 2
A cryptographic library protecting two-thirds of the world's encrypted web servers was kept alive on roughly $2,000 a year in donations by a single full-time maintainer.
4 ИИ поставили сюда - 3
Shellshock (GNU Bash, CVE-2014-6271)
Оценка 10,0 (v2), атаковали в течение нескольких часов после раскрытия. Ошибка сидела в оболочке GNU Bash, которую в основном поддерживал один человек, Чет Рэми. CISA внесла её в список только в 2022 году.
Включили: Claude, Meta, Nemotron, Gemini. Не включили: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.В их списках: Claude: 3 · Meta: 4 · Nemotron: 4 · Gemini: 4
Что отметил каждый ИИ 4
- Claudeместо 3
Ошибка в оболочке, которая работает за огромным количеством веб-серверов, подверглась атакам в течение нескольких часов после раскрытия, однако CISA включила её в список только в январе 2022 года.
- Metaместо 4
25-year-old bug since 1989 in Bash on every Linux and Mac, CVSS 10.0, first in-the-wild attacks within 24 hours
Источник ↗ - Nemotronместо 4
CVSS 10.0 in Bash; unauthenticated RCE via environment variables; exploited within days; patching fragmented across Unix-like systems; Bash maintained by ~2 volunteers, minimal funding.
- Geminiместо 4
A silent command execution flaw lay dormant for 22 years in the default Unix shell that essentially one programmer had maintained since 1989.
4 ИИ поставили сюда - 4
PHP2Shell (PHP, CVE-2026-109618 и CVE-2026-109619)
Две уязвимости удалённого выполнения кода без входа в систему (9,2 по v4.0; 9,8 по v3.1 — по одному отчёту). Подтверждены ли атаки, спорно, а на 21 октября их не было в каталоге известных атак KEV.
Включили: Claude, Meta, Nemotron, Gemini. Не включили: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.В их списках: Claude: 4 · Meta: 3 · Nemotron: 3 · Gemini: 5
Что отметил каждый ИИ 4
- Claudeместо 4
Утёкшая подсказка сдвинула исправление на день раньше, а около 884 000 хостов всё ещё сообщали PHP 8.1 или старше — версию, которая не получает официального исправления.
Источник ↗ - Metaместо 3
69.3% of identifiable web sites run PHP, attacks started 4 days before fix, flaws leaked Oct 20 ahead of Oct 21 patch
Источник ↗ - Nemotronместо 3
Two critical flaws (CVSS 9.8) in PHP's CGI mode allow unauthenticated RCE; attacks seen before patch; ~78% of web runs PHP; core team ~10 volunteers, ~$200k/yr.
Источник ↗ - Geminiместо 5
A double memory corruption flaw in the engine powering over 75% of global websites forced emergency weekend patches and prompted government agencies across Europe to take portals offline.
4 ИИ поставили сюда - 5
Закладка в XZ Utils (CVE-2024-3094)
Оценка 10,0, но это была не ошибка, а намеренно заложенный тайный ход в программе. Два года шло завоевание доверия одного сопровождающего, а поймали его по задержке SSH на полсекунды до массового распространения.
Включили: Claude, Meta, Gemini. Не включили: ChatGPT, Grok, Nemotron, StepFun, Kimi, DeepSeek, Wenxin.В их списках: Claude: 5 · Meta: 5 · Gemini: 3
Что отметил каждый ИИ 3
- Claudeместо 5
Многолетний захват проекта с одним сопровождающим случайно заметил один инженер — до того, как изменения попали в большинство стабильных релизов Linux.
Источник ↗ - Metaместо 5
Intentional backdoor after 2-year grooming of exhausted volunteer, CVSS 10.0, caught by 500ms SSH latency anomaly weeks before stable release
Источник ↗ - Geminiместо 3
A multi-year covert operation targeted the psychological exhaustion of a lone, unpaid maintainer in Finland to plant a master key directly into Linux SSH logins.
Источник ↗
3 ИИ поставили сюда - 6
Spring4Shell (Spring Framework, CVE-2022-22965)
Оценка 9,8, способ атаки стал общедоступным в течение 24 часов, а CISA внесла уязвимость в список через четыре дня после раскрытия. В отличие от большинства здесь, у проекта была корпоративная поддержка (VMware).
Включили: Claude, Meta, Nemotron. Не включили: ChatGPT, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin.В их списках: Claude: 9 · Meta: 8 · Nemotron: 7
Что отметил каждый ИИ 3
- Claudeместо 9
Её назвали преемницей Log4Shell; 4 апреля 2022 года она попала в список CISA с дедлайном в 21 день.
Источник ↗ - Metaместо 8
CVSS 9.8 RCE in Spring MVC/WebFlux on JDK 9+, exploit public within 24h, Spring powers millions of enterprise Java apps
Источник ↗ - Nemotronместо 7
CVSS 9.8 in Spring Framework; unauthenticated RCE via data binding; exploited within days; widespread in enterprise Java; Spring team ~20 engineers, funded by VMware/Tanzu.
Источник ↗
3 ИИ поставили сюда - 7
GHOST (glibc, CVE-2015-0235)
Ошибка переполнения памяти, которая есть почти в каждой системе Linux с 2000 года. ИИ дают ей оценку 10,0 (v2), 9,8 или 7,5, а исправление означало перезапуск всех сетевых служб.
Включили: Meta, Nemotron, Gemini. Не включили: Claude, ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.В их списках: Meta: 7 · Nemotron: 10 · Gemini: 9
Что отметил каждый ИИ 3
- Metaместо 7
Heap overflow in gethostbyname since glibc 2.2 in 2000, CVSS 10.0, affects virtually every Linux system, patch lag 15 years
Источник ↗ - Nemotronместо 10
CVSS 7.5 in glibc gethostbyname; unauthenticated RCE via DNS; exploited within days; patching across Linux distros fragmented; glibc maintained by ~10 volunteers, funded by Red Hat/others.
- Geminiместо 9
A buffer overflow in the core GNU C resolver function quietly underwrote almost every connected Linux application from 2000 until 2015.
3 ИИ поставили сюда - 8
Apache Struts / Equifax (CVE-2017-5638)
Код атаки появился на следующий день после исправления в марте 2017 года. Equifax всё равно потеряла данные 146,6 млн человек (по другому источнику — 147,9 млн) из-за одного не обновлённого сервера.
Включили: Claude, Meta. Не включили: ChatGPT, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.В их списках: Claude: 7 · Meta: 6
Что отметил каждый ИИ 2
- Claudeместо 7
Исправление вышло 6 марта 2017 года, код эксплойта появился на следующий день, а Equifax всё равно потеряла данные 146,6 млн человек.
Источник ↗ - Metaместо 6
One unpatched Struts instance led to 147.9M people breached, patch available Mar 7 2017, exploited Mar 2017, Equifax breached May-July
Источник ↗
2 ИИ поставили сюда - 9
React2Shell (React Server Components, CVE-2025-55182)
Оценка 10,0, для атаки хватало одного запроса. Число открытых IP-адресов по сканированиям Shadowserver за неделю выросло с 77 664 до более 137 200, а взломы затронули 30+ организаций (по одному источнику).
Включили: Claude. Не включили: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.В их списках: Claude: 6
Что отметил каждый ИИ 1
- Claudeместо 6
Хватило одного специально составленного веб-запроса, а число открытых IP-адресов в сканах Shadowserver за неделю выросло с 77 664 до более чем 137 200.
Источник ↗
1 ИИ поставили сюда - 10
Инъекция аргументов PHP-CGI (CVE-2024-4577)
Предыдущая аварийная ситуация с PHP. Группировка вымогателей использовала её примерно через 2 дня после исправлений июня 2024 года, а около 250 000 серверов PHP на Windows были открыты (оценка одной компании).
Включили: Claude. Не включили: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.В их списках: Claude: 8
Что отметил каждый ИИ 1
- Claudeместо 8
Преобразование символов «best-fit» в Windows позволяло посторонним запускать код, и банда вымогателей использовала его в течение нескольких дней после исправлений июня 2024 года.
Источник ↗
1 ИИ поставили сюда
02Стоит знать
Что заметили ИИ, пока составляли список.
CISA добавила Heartbleed в свой список эксплуатируемых уязвимостей в мае 2022 года, через восемь лет после исправления. Даты в KEV показывают, когда составили список, а не когда начались атаки.
Закладка XZ перешла от случайных ошибок к манипуляции доверием. Злоумышленник около двух лет получал право вносить изменения в код, «помогая» измотанному одиночному сопровождающему.
Сколько добровольцев поддерживали Log4j, спорно: по данным InfoWorld и Help Net Security — 16 неоплачиваемых, по другим ответам — около 3. Через год сопровождающий Ральф Гоерс всё ещё работал над проектом бесплатно, параллельно с двумя полноценными работами.
Доля PHP в интернете указана как 69,3% (W3Techs, 21 октября 2026 года, сайты с известным языком сервера) и как 76–78% в других ответах. В любом случае ошибка в ядре PHP затрагивает больше сайтов, чем ошибка в WordPress или Drupal.
03Как считали
Простыми словами, без формул.
1Вопрос
Топ-10 уязвимостей в скрытом фундаменте интернета: от Heartbleed до сегодняшней чрезвычайной ситуации с PHP
2Почему эта тема
Он ставит сегодняшние уязвимости PHP в один ряд с Heartbleed, Shellshock и Log4Shell и сопоставляет скорость атак со скоростью исправлений, чего не делает ни один другой список.
3Где это применимо
Весь мир; открытое ПО, от которого зависит большая часть интернета
4На что смотрели
- Оценка серьёзности и может ли посторонний получить контроль без пароля
- Дни от раскрытия до подтверждённых атак
- Время, за которое обновили большинство открытых серверов по всему миру
- Размер и финансирование добровольной команды, которая поддерживала это ПО
- Национальная база уязвимостей NIST (NVD) — баллы серьёзности CVSS и можно ли использовать уязвимость без пароля
- Каталог CISA «Известные эксплуатируемые уязвимости» (KEV) — подтверждённые реальные атаки, дата внесения каждой уязвимости в каталог и федеральный срок исправления
- Сканирования Shadowserver Foundation (по сообщению BleepingComputer) — IP-адреса в интернете, которые после исправления всё ещё работают с уязвимым кодом
- Обзор Censys по Log4j — доля интернет-хостов, которые со временем всё ещё выглядели уязвимыми для Log4Shell
5Кто ставил места
Ведущие ИИ: Claude, ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin. Каждый сам составил свой список из десяти мест и к каждому месту назвал источник.
6Как сведены места
Одно и то же, названное разными ИИ по-разному, считали за одно. Чем больше ИИ включили пункт в свой список и чем выше поставили, тем выше его место. «Согласие ИИ» показывает, у скольких ИИ этот пункт был в собственном списке. Источники — только те, что нашли сами ИИ, ничего не добавлено вручную.
04Список каждого ИИ отдельно
🇺🇸 Claude10 мест · заметок: 4
Тот же вопрос, ответ одного ИИ — Claude. Итоговый список выше объединяет все ИИ.
- 1Log4Shell (Apache Log4j, CVE-2021-44228, 2021)
Cloudflare зафиксировала успешную атаку 1 декабря 2021 года, как минимум за девять дней до публичного предупреждения. Код поддерживала группа добровольцев, которым фонд Apache не платил.
Источник ↗ - 2Heartbleed (OpenSSL, CVE-2014-0160, 2014)
CISA добавила её в список эксплуатируемых уязвимостей только 4 мая 2022 года, через восемь лет после исправления. А фонд, стоящий за OpenSSL, до кризиса, по сообщениям, имел одного штатного сотрудника и около 2 000 долларов пожертвований в год.
Источник ↗ - 3Shellshock (GNU Bash, CVE-2014-6271, 2014)
Ошибка в оболочке, которая работает за огромным количеством веб-серверов, подверглась атакам в течение нескольких часов после раскрытия, однако CISA включила её в список только в январе 2022 года.
- 4PHP2Shell (PHP, CVE-2026-109618 и CVE-2026-109619, октябрь 2026)
Утёкшая подсказка сдвинула исправление на день раньше, а около 884 000 хостов всё ещё сообщали PHP 8.1 или старше — версию, которая не получает официального исправления.
Источник ↗ - 5Закладка в XZ Utils (CVE-2024-3094, 2024)
Многолетний захват проекта с одним сопровождающим случайно заметил один инженер — до того, как изменения попали в большинство стабильных релизов Linux.
Источник ↗ - 6React2Shell (React Server Components, CVE-2025-55182, декабрь 2025)
Хватило одного специально составленного веб-запроса, а число открытых IP-адресов в сканах Shadowserver за неделю выросло с 77 664 до более чем 137 200.
Источник ↗ - 7Apache Struts / Equifax (CVE-2017-5638, 2017)
Исправление вышло 6 марта 2017 года, код эксплойта появился на следующий день, а Equifax всё равно потеряла данные 146,6 млн человек.
Источник ↗ - 8Внедрение аргументов в PHP-CGI (CVE-2024-4577, 2024)
Преобразование символов «best-fit» в Windows позволяло посторонним запускать код, и банда вымогателей использовала его в течение нескольких дней после исправлений июня 2024 года.
Источник ↗ - 9Spring4Shell (Spring Framework, CVE-2022-22965, 2022)
Её назвали преемницей Log4Shell; 4 апреля 2022 года она попала в список CISA с дедлайном в 21 день.
Источник ↗ - 10Drupalgeddon2 (ядро Drupal, CVE-2018-7600, 2018)
Удалённое выполнение кода в Drupal всё ещё добавляли в обязательный к установке список CISA в ноябре 2021 года — более чем через три года после исправления.
Источник ↗
Что заметил Claude
CISA добавила Heartbleed в список эксплуатируемых уязвимостей (KEV) в мае 2022 года, через восемь лет после исправления ошибки. Даты в этом списке отражают, когда его составили, а не когда начались атаки, поэтому он плохие часы для уязвимостей эпохи 2014 года.
Оценка Heartbleed в NVD была всего 5,0 (по CVSS v2), потому что старый метод учитывал влияние на хост, хотя уязвимость открывала пароли и закрытые ключи. Log4Shell получил 10,0, а проект, который её поддерживал, держался на 16 неоплачиваемых волонтёрах.
Деньги пришли после кризиса. После Heartbleed дюжина компаний пообещала по 100 000 долларов в год каждая на три года через Core Infrastructure Initiative, а два разработчика OpenSSL стали штатными.
Через год после Log4Shell сообщалось, что Ральф Гоерс по-прежнему ведёт две штатные работы, а Log4j — неоплачиваемая (испаноязычный репортаж). Число его спонсоров в GitHub Sponsors выросло с 3 до 31.