Гроші з'явилися лише після кризи. Після Heartbleed десяток компаній кожна пообіцяла по 100 000 доларів на рік протягом трьох років через Core Infrastructure Initiative, а двоє розробників OpenSSL перейшли на повну ставку.
Назад до тренду дня: Дві вади в PHP дозволяють чужим захоплювати сайти; деякі вимкнули для безпеки
Рейтинг Poly · з тренду дня
Найгірші вади безпеки в інтернеті: Log4j, Heartbleed, PHP 2026
До Heartbleed бібліотека шифрування, на якій тримається велика частка HTTPS-серверів мережі, жила на близько 2 000 доларів пожертв на рік. А через сім років Log4Shell з ідеальною оцінкою 10 атакували щонайменше за вісім днів до публічного попередження.
- №1: Log4Shell (Log4j, CVE-2021-44228)
- 10 місць
01Підсумковий список
Провідні ШІ незалежно склали свої списки з десяти місць. Нагорі — один підсумок, який легко перевірити: у кожного місця є причина, джерело та список ШІ, які його включили.
Порядок: від більшої згоди ШІ до меншої.
Яскрава плашка — цей ШІ включив пункт у свій список. Тьмяна — не включив.
- 1
Log4Shell (Log4j, CVE-2021-44228)
Ідеальна оцінка 10,0 без потреби в паролі. Атаки почалися з 1 грудня 2021 року, за вісім днів до попередження. Неоплачувані супровідники: за даними джерел, 3 або 16 волонтерів.
Увімкнули: Claude, Meta, Nemotron, Gemini. Не увімкнули: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.У їхніх списках: Claude: 1 · Meta: 1 · Nemotron: 6 · Gemini: 1
Що відзначив кожен ШІ 4
- Claudeмісце 1
Cloudflare зафіксувала успішний експлойт 1 грудня 2021 року, щонайменше за дев'ять днів до публічного попередження, а код підтримувала команда волонтерів, яку фонд Apache не оплачував.
Джерело ↗ - Metaмісце 1
Perfect 10.0 CVSS, 400k exploit attempts in 2 days, 30% still vulnerable after 60 days, fixed by 16 unpaid volunteers
Джерело ↗ - Nemotronмісце 6
Duplicate entry; see rank 1.
Джерело ↗ - Geminiмісце 1
A single line of text in a free logging package run by three unpaid volunteers exposed an estimated three billion devices across the world's largest cloud providers.
Джерело ↗
4 ШІ поставили сюди - 2
Heartbleed (OpenSSL, CVE-2014-0160)
Оцінку лише 5,0 (v2) або 7,5 (v3), але вона витікала приватні ключі. Близько 600 000 серверів були вразливі, а через два місяці ще близько 300 000. OpenSSL жив на близько 2 000 доларів на рік.
Увімкнули: Claude, Meta, Nemotron, Gemini. Не увімкнули: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.У їхніх списках: Claude: 2 · Meta: 2 · Nemotron: 2 · Gemini: 2
Що відзначив кожен ШІ 4
- Claudeмісце 2
CISA внесла її до списку використовуваних вразливостей лише 4 травня 2022 року, через вісім років після виправлення, а до кризи фонд, що стоїть за OpenSSL, нібито мав одного штатного працівника і близько 2 000 доларів на рік пожертв.
Джерело ↗ - Metaмісце 2
600k servers initially vulnerable, 309,197 still leaking memory after 2 months, OpenSSL had $2,000 yearly donations and 4 volunteers
Джерело ↗ - Nemotronмісце 2
CVSS 7.5 but exposed private keys of ~17% of HTTPS sites; exploited within hours; patching took months for many; OpenSSL had ~4 core developers, <$1M/yr funding.
- Geminiмісце 2
A cryptographic library protecting two-thirds of the world's encrypted web servers was kept alive on roughly $2,000 a year in donations by a single full-time maintainer.
4 ШІ поставили сюди - 3
Shellshock (GNU Bash, CVE-2014-6271)
Оцінка 10,0 (v2), і на неї напали за лічені години після розкриття. Помилка сиділа в оболонці, яку майже сам підтримував Чет Рамі. CISA внесла її до переліку лише 2022 року.
Увімкнули: Claude, Meta, Nemotron, Gemini. Не увімкнули: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.У їхніх списках: Claude: 3 · Meta: 4 · Nemotron: 4 · Gemini: 4
Що відзначив кожен ШІ 4
- Claudeмісце 3
Помилку в оболонці, що працює за безліччю веб-серверів, атакували протягом кількох годин після оприлюднення, але CISA внесла її до списку лише в січні 2022 року.
- Metaмісце 4
25-year-old bug since 1989 in Bash on every Linux and Mac, CVSS 10.0, first in-the-wild attacks within 24 hours
Джерело ↗ - Nemotronмісце 4
CVSS 10.0 in Bash; unauthenticated RCE via environment variables; exploited within days; patching fragmented across Unix-like systems; Bash maintained by ~2 volunteers, minimal funding.
- Geminiмісце 4
A silent command execution flaw lay dormant for 22 years in the default Unix shell that essentially one programmer had maintained since 1989.
4 ШІ поставили сюди - 4
PHP2Shell (PHP, CVE-2026-109618 and CVE-2026-109619)
Дві вади віддаленого виконання коду без автентифікації (9,2 за v4.0; 9,8 за v3.1 за одним звітом). Чи є підтверджені атаки, спірне, і станом на 21 жовтня їх не було в каталозі CISA відомих експлуатованих вразливостей (KEV).
Увімкнули: Claude, Meta, Nemotron, Gemini. Не увімкнули: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.У їхніх списках: Claude: 4 · Meta: 3 · Nemotron: 3 · Gemini: 5
Що відзначив кожен ШІ 4
- Claudeмісце 4
Витік підказки прискорив виправлення на день, а близько 884 000 хостів досі повідомляли PHP 8.1 або старіше — лінію версій, яка не отримує офіційних виправлень.
Джерело ↗ - Metaмісце 3
69.3% of identifiable web sites run PHP, attacks started 4 days before fix, flaws leaked Oct 20 ahead of Oct 21 patch
Джерело ↗ - Nemotronмісце 3
Two critical flaws (CVSS 9.8) in PHP's CGI mode allow unauthenticated RCE; attacks seen before patch; ~78% of web runs PHP; core team ~10 volunteers, ~$200k/yr.
Джерело ↗ - Geminiмісце 5
A double memory corruption flaw in the engine powering over 75% of global websites forced emergency weekend patches and prompted government agencies across Europe to take portals offline.
4 ШІ поставили сюди - 5
Бекдор в XZ Utils (CVE-2024-3094)
Оцінка 10,0, але це була навмисно вбудована прихована лазівка, а не помилка. Два роки довіру будували з одним супровідником, а виявили її за півсекунди затримки SSH до широкого поширення.
Увімкнули: Claude, Meta, Gemini. Не увімкнули: ChatGPT, Grok, Nemotron, StepFun, Kimi, DeepSeek, Wenxin.У їхніх списках: Claude: 5 · Meta: 5 · Gemini: 3
Що відзначив кожен ШІ 3
- Claudeмісце 5
Багаторічне захоплення проєкту з одним мейнтейнером помітив випадково один інженер, перш ніж воно потрапило до більшості стабільних релізів Linux.
Джерело ↗ - Metaмісце 5
Intentional backdoor after 2-year grooming of exhausted volunteer, CVSS 10.0, caught by 500ms SSH latency anomaly weeks before stable release
Джерело ↗ - Geminiмісце 3
A multi-year covert operation targeted the psychological exhaustion of a lone, unpaid maintainer in Finland to plant a master key directly into Linux SSH logins.
Джерело ↗
3 ШІ поставили сюди - 6
Spring4Shell (Spring Framework, CVE-2022-22965)
Оцінка 9,8, публічна атака з'явилася протягом 24 годин, а CISA внесла її до переліку через чотири дні після розкриття. На відміну від більшості тут, проєкт мав корпоративну підтримку (VMware).
Увімкнули: Claude, Meta, Nemotron. Не увімкнули: ChatGPT, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin.У їхніх списках: Claude: 9 · Meta: 8 · Nemotron: 7
Що відзначив кожен ШІ 3
- Claudeмісце 9
Названа наступницею Log4Shell, вона потрапила до списку CISA 4 квітня 2022 року з терміном 21 день.
Джерело ↗ - Metaмісце 8
CVSS 9.8 RCE in Spring MVC/WebFlux on JDK 9+, exploit public within 24h, Spring powers millions of enterprise Java apps
Джерело ↗ - Nemotronмісце 7
CVSS 9.8 in Spring Framework; unauthenticated RCE via data binding; exploited within days; widespread in enterprise Java; Spring team ~20 engineers, funded by VMware/Tanzu.
Джерело ↗
3 ШІ поставили сюди - 7
GHOST (glibc, CVE-2015-0235)
Переповнення купи, присутнє майже в кожній системі Linux з 2000 року. ШІ дають їй оцінку 10,0 (v2), 9,8 або 7,5, а виправлення означало перезапуск кожної мережевої служби.
Увімкнули: Meta, Nemotron, Gemini. Не увімкнули: Claude, ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.У їхніх списках: Meta: 7 · Nemotron: 10 · Gemini: 9
Що відзначив кожен ШІ 3
- Metaмісце 7
Heap overflow in gethostbyname since glibc 2.2 in 2000, CVSS 10.0, affects virtually every Linux system, patch lag 15 years
Джерело ↗ - Nemotronмісце 10
CVSS 7.5 in glibc gethostbyname; unauthenticated RCE via DNS; exploited within days; patching across Linux distros fragmented; glibc maintained by ~10 volunteers, funded by Red Hat/others.
- Geminiмісце 9
A buffer overflow in the core GNU C resolver function quietly underwrote almost every connected Linux application from 2000 until 2015.
3 ШІ поставили сюди - 8
Apache Struts / Equifax (CVE-2017-5638)
Код атаки з'явився наступного дня після виправлення в березні 2017 року. Equifax усе ж втратила дані 146,6 мільйона людей (інше джерело називає 147,9 мільйона) через один невиправлений сервер.
Увімкнули: Claude, Meta. Не увімкнули: ChatGPT, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.У їхніх списках: Claude: 7 · Meta: 6
Що відзначив кожен ШІ 2
- Claudeмісце 7
Патч вийшов 6 березня 2017 року, наступного дня з'явився код експлойту, а Equifax усе одно втратила дані 146,6 мільйона людей.
Джерело ↗ - Metaмісце 6
One unpatched Struts instance led to 147.9M people breached, patch available Mar 7 2017, exploited Mar 2017, Equifax breached May-July
Джерело ↗
2 ШІ поставили сюди - 9
React2Shell (React Server Components, CVE-2025-55182)
Оцінка 10,0, для атаки вистачало одного запиту. Кількість відкритих IP-адрес у скануваннях Shadowserver зросла з 77 664 до понад 137 200 за тиждень, а 30+ організацій зламали (за одним джерелом).
Увімкнули: Claude. Не увімкнули: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.У їхніх списках: Claude: 6
Що відзначив кожен ШІ 1
- Claudeмісце 6
Вистачило одного спеціально створеного веб-запиту, і кількість відкритих IP-адрес у скануваннях Shadowserver зросла з 77 664 до понад 137 200 за тиждень.
Джерело ↗
1 ШІ поставили сюди - 10
Ін'єкція аргументів у PHP-CGI (CVE-2024-4577)
Попередня аварія PHP. Банда, що вимагає викуп, використала його приблизно через 2 дні після виправлень у червні 2024 року, а близько 250 000 серверів PHP під Windows стали відкритими (оцінка одного постачальника).
Увімкнули: Claude. Не увімкнули: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.У їхніх списках: Claude: 8
Що відзначив кожен ШІ 1
- Claudeмісце 8
Перетворення символів «best-fit» у Windows дозволяло сторонім запускати код, і банда шифрувальників використала його протягом кількох днів після виправлень червня 2024 року.
Джерело ↗
1 ШІ поставили сюди
02Варто знати
Що помітили ШІ, поки складали список.
CISA внесла Heartbleed до свого списку експлуатованих вразливостей у травні 2022 року, через вісім років після виправлення. Дати KEV показують, коли склали список, а не коли почалися атаки.
Задня хвіртка XZ перейшла від випадкових помилок до соціальної інженерії. Зловмисник близько двох років добивався прав на коміти, «допомагаючи» виснаженому одному супровіднику.
Скільки волонтерів підтримували Log4j, спірне: 16 неоплачуваних волонтерів за InfoWorld і Help Net Security, близько 3 за іншими відповідями. Через рік супровідник Ральф Гоерс ще працював над ним безоплатно, маючи при цьому дві повні роботи.
Частку PHP у вебі подають як 69,3% (W3Techs, 21 жовтня 2026, сайти з відомою мовою сервера) і як 76–78% в інших відповідях. Так чи інакше, вада в ядрі PHP дістає більше сайтів, ніж помилка WordPress чи Drupal.
03Як рахували
Простими словами, без формул.
1Питання
10 найгірших вразливостей у прихованій основі інтернету: від Heartbleed до сьогоднішньої надзвичайної ситуації з PHP
2Чому ця тема
Він ставить сьогоднішні вразливості PHP в один ряд із Heartbleed, Shellshock і Log4Shell і порівнює швидкість атак зі швидкістю оновлень, чого не робить жоден окремий список.
3Де це застосовно
Глобально; відкрите програмне забезпечення, від якого залежить значна частина інтернету
4На що дивилися
- Оцінка серйозності та чи може сторонній захопити контроль без пароля
- Дні від оприлюднення до підтверджених атак
- Час до оновлення більшості відкритих серверів у світі
- Розмір і фінансування команди волонтерів, що підтримувала програму
- Національна база вразливостей NIST (NVD) — оцінки серйозності CVSS і чи можна скористатися вадою без пароля
- Каталог CISA відомих експлуатованих вразливостей (KEV) — підтверджені реальні атаки, дата, коли CISA внесла кожну ваду, і федеральний строк на виправлення
- Сканування Shadowserver Foundation (за повідомленням BleepingComputer) — відкриті в інтернеті IP-адреси, які досі працюють з уразливим кодом після виправлення
- Ретроспектива Censys про Log4j — частка інтернет-хостів, які й далі виглядали вразливими до Log4Shell, за часом
5Хто ставив місця
Провідні ШІ: Claude, ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin. Кожен сам склав свій список із десяти місць і до кожного місця назвав джерело.
6Як зведено місця
Те саме, назване різними ШІ по-різному, рахували як одне. Що більше ШІ включили пункт до свого списку і що вище поставили, то вище його місце. «Згода ШІ» показує, у скількох ШІ цей пункт був у власному списку. Джерела — лише ті, що знайшли самі ШІ, нічого не додано вручну.
04Список кожного ШІ окремо
🇺🇸 Claude10 місць · нотаток: 4
Те саме питання, відповідь одного ШІ — Claude. Підсумковий список вище об'єднує всі ШІ.
- 1Log4Shell (Apache Log4j, CVE-2021-44228, 2021)
Cloudflare зафіксувала успішний експлойт 1 грудня 2021 року, щонайменше за дев'ять днів до публічного попередження, а код підтримувала команда волонтерів, яку фонд Apache не оплачував.
Джерело ↗ - 2Heartbleed (OpenSSL, CVE-2014-0160, 2014)
CISA внесла її до списку використовуваних вразливостей лише 4 травня 2022 року, через вісім років після виправлення, а до кризи фонд, що стоїть за OpenSSL, нібито мав одного штатного працівника і близько 2 000 доларів на рік пожертв.
Джерело ↗ - 3Shellshock (GNU Bash, CVE-2014-6271, 2014)
Помилку в оболонці, що працює за безліччю веб-серверів, атакували протягом кількох годин після оприлюднення, але CISA внесла її до списку лише в січні 2022 року.
- 4PHP2Shell (PHP, CVE-2026-109618 і CVE-2026-109619, жовтень 2026)
Витік підказки прискорив виправлення на день, а близько 884 000 хостів досі повідомляли PHP 8.1 або старіше — лінію версій, яка не отримує офіційних виправлень.
Джерело ↗ - 5Прихований вхід у XZ Utils (CVE-2024-3094, 2024)
Багаторічне захоплення проєкту з одним мейнтейнером помітив випадково один інженер, перш ніж воно потрапило до більшості стабільних релізів Linux.
Джерело ↗ - 6React2Shell (React Server Components, CVE-2025-55182, грудень 2025)
Вистачило одного спеціально створеного веб-запиту, і кількість відкритих IP-адрес у скануваннях Shadowserver зросла з 77 664 до понад 137 200 за тиждень.
Джерело ↗ - 7Apache Struts / Equifax (CVE-2017-5638, 2017)
Патч вийшов 6 березня 2017 року, наступного дня з'явився код експлойту, а Equifax усе одно втратила дані 146,6 мільйона людей.
Джерело ↗ - 8Впровадження аргументів у PHP-CGI (CVE-2024-4577, 2024)
Перетворення символів «best-fit» у Windows дозволяло сторонім запускати код, і банда шифрувальників використала його протягом кількох днів після виправлень червня 2024 року.
Джерело ↗ - 9Spring4Shell (Spring Framework, CVE-2022-22965, 2022)
Названа наступницею Log4Shell, вона потрапила до списку CISA 4 квітня 2022 року з терміном 21 день.
Джерело ↗ - 10Drupalgeddon2 (ядро Drupal, CVE-2018-7600, 2018)
Віддалене виконання коду в Drupal, яке ще в листопаді 2021 року додавали до обов'язкового списку CISA, понад три роки потому.
Джерело ↗
Що помітив Claude
CISA внесла Heartbleed до списку використовуваних вразливостей у травні 2022 року, через вісім років після виправлення помилки. Дати KEV відображають, коли склали список, а не коли почалися атаки, тож це поганий годинник для вразливостей епохи 2014 року.
Оцінка Heartbleed в NVD була лише 5,0 (CVSS v2), бо старий метод оцінювання враховував вплив на хост, хоча вона відкривала паролі та приватні ключі. Log4Shell отримала 10,0, а проєкт, який її підтримував, мав 16 волонтерів без оплати.
Гроші прийшли після кризи. Після Heartbleed десятка компаній пообіцяли по 100 000 доларів на рік кожна протягом трьох років через Core Infrastructure Initiative, і два розробники OpenSSL стали штатними.
Через рік після Log4Shell повідомлялося, що Ральф Гоерс досі має дві повні роботи, а неоплачуваною є та, що з Log4j (звіт іспанською мовою). Кількість його спонсорів на GitHub Sponsors зросла з 3 до 31.