Назад до тренду дня: PHP оновлює веб-інструменти для Windows: закрито уразливість, якою зловмисники могли запускати код
Рейтинг Poly · з тренду дня

Алгоритм стиснення даних: топ-10 вебкодеків 2026

Zstandard розпаковує в 3,6 раза швидше за Brotli (1 550 проти 425 МБ/с) при розриві в степені стиснення 0,4%, а в жовтні 2026 року саме декодер Brotli випустив віддалений запис за межі буфера з оцінкою 9,8.

  • №1: Zstandard (zstd)
  • 10 місць

01Підсумковий список

Провідні ШІ незалежно склали свої списки з десяти місць. Нагорі — один підсумок, який легко перевірити: у кожного місця є причина, джерело та список ШІ, які його включили.

Порядок: від більшої згоди ШІ до меншої.

Яскрава плашка — цей ШІ включив пункт у свій список. Тьмяна — не включив.

  1. 1

    Zstandard (zstd)

    Декодує зі швидкістю 1 550 МБ/с проти 425 у Brotli, майже з тим самим степенем стиснення (2,896 проти 2,883). Її кілька CVE стосуються інструмента командного рядка, а не декодера. На вебактивах Brotli все ще перемагає: 3,08 проти 2,86.

    Увімкнули: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Не увімкнули: ChatGPT, Wenxin.

    У їхніх списках: Meta: див. список · Grok: див. список · Gemini: див. список · Nova: 1 · StepFun: див. список · Kimi: див. список · DeepSeek: див. список · Qwen: див. список

    Що відзначив кожен ШІ 8
    • Meta

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Grok

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Gemini

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Novaмісце 1

      Розпаковує зі швидкістю 200–400 МБ/с при степені стиснення 2,5–3,5×, але його вада перевірки потоку 2026 року підвищила ризики відмови в обслуговуванні.

      Джерело ↗
    • StepFun

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Kimi

      У його списку названо інакше: відкрийте весь список.

      див. список
    • DeepSeek

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Qwen

      У його списку названо інакше: відкрийте весь список.

      див. список
    8 ШІ поставили сюди
  2. 2

    gzip / DEFLATE (zlib)

    Досі стискає 60% вебу JavaScript, проти 29% у Brotli. Декодує зі швидкістю 390 МБ/с із коефіцієнтом 2,743, а її декодер zlib має 19 CVE, зокрема CVE-2022-37434 з оцінкою 9,8.

    Увімкнули: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Не увімкнули: ChatGPT, Wenxin.

    У їхніх списках: Meta: 2 · Grok: 2 · Gemini: 2 · Nova: 3 · StepFun: 2 · Kimi: 2 · DeepSeek: 2 · Qwen: 1

    Що відзначив кожен ШІ 8
    • Metaмісце 2

      82% сайтів віддають gzip через zlib — у PHP, gzip у Python, zlib у Node, Zlib у Ruby, у кожній збірці Nginx — переповнення купи CVE-2022-37434 через велике поле extra у заголовку gzip

    • Grokмісце 2

      Вбудована майже в кожне середовище виконання мов і веб-сервер; кілька критичних переповнень купи (зокрема 2022 і 2026 років) досі трапляються, попри десятиліття аудитів.

    • Geminiмісце 2

      Тихо вбудована в середовища Node.js, Python і PHP, через що 47,1% HTTP-відповідей серверів залежать від 30-річної моделі пам'яті.

    • Novaмісце 3

      Перший веб-компресор, що досі обробляє 80% HTTP-трафіку зі степенем 1,5–2×, але переслідується історичними вадами zlib.

      Джерело ↗
    • StepFunмісце 2

      19 CVE і переповнення купи inflate(), яке сиділо в стандартному шляху HTTP gzip аж до версії 1.2.12.

    • Kimiмісце 2

      Вбудована в PHP, Node, Python і curl — і навіть всередині самого OpenSSL; його найгірша помилка inflate() отримала 9,8.

    • DeepSeekмісце 2

      19 CVE з 2002 року, 9 з публічними експлойтами і CVSS 9,8 — переповнення купи в inflate, декомпресорі за gzip, PNG і безліччю стеків HTTP.

    • Qwenмісце 1

      Невидима легеня інтернету: стискає 90% веб-трафіку, тихо випускаючи CVE з пошкодженням пам'яті раз на кілька років.

      Джерело ↗
    8 ШІ поставили сюди
  3. 3

    LZ4

    Найшвидший декодер — 3 850 МБ/с, але коефіцієнт лише 2,101, тобто корисне навантаження більше, ніж у zstd. Деякі ШІ казали про нуль CVE, але CVE-2021-3520 — справжнє переповнення цілого числа, що призводить до пошкодження пам'яті.

    Увімкнули: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Не увімкнули: ChatGPT, Wenxin.

    У їхніх списках: Meta: див. список · Grok: див. список · Gemini: див. список · Nova: 4 · StepFun: див. список · Kimi: див. список · DeepSeek: див. список · Qwen: див. список

    Що відзначив кожен ШІ 8
    • Meta

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Grok

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Gemini

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Novaмісце 4

      Найшвидший розпаковувач зі швидкістю понад 500 МБ/с, але лише зі степенем 1,5–2×; його простота уникає складних вразливостей, як у Brotli/Zstd.

      Джерело ↗
    • StepFun

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Kimi

      У його списку названо інакше: відкрийте весь список.

      див. список
    • DeepSeek

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Qwen

      У його списку названо інакше: відкрийте весь список.

      див. список
    8 ШІ поставили сюди
  4. 4

    Brotli

    Найщільніше на вебтексті: 3,08:1 проти 2,56 у gzip на активах Cloudflare і на 19% менше на рівні 11. Ціна — CVE-2026-111497, запис за межі буфера з оцінкою 9,8 у версіях від 1.0.3 до 1.2.0.

    Увімкнули: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Не увімкнули: ChatGPT, Wenxin.

    У їхніх списках: Meta: 7 · Grok: 5 · Gemini: 9 · Nova: 2 · StepFun: 7 · Kimi: 9 · DeepSeek: див. список · Qwen: див. список

    Що відзначив кожен ШІ 8
    • Metaмісце 7

      Вбудований C-декодер у Node zlib, Bun, Python brotli, збірках PHP для Windows 8.2–8.5 — CVE-2026-111497, віддалене виконання коду Node2Shell/HTTP2Shell у всіх екосистемах

      Джерело ↗
    • Grokмісце 5

      Саме та бібліотека, що змусила екстрено перезбирати Windows-збірки PHP 26 жовтня 2026 року; одна критична помилка запису за межі буфера в декодері поширилася на Node, Python, .NET і PHP.

      Джерело ↗
    • Geminiмісце 9

      Вбудований безпосередньо в PHP і Node.js для швидкого розпакування потоків; жовтневий запис за межі буфера 2026 року вимагав терміновых перезбірок бінарників кількох версій.

      Джерело ↗
    • Novaмісце 2

      Компресор Google зі степенем 4–5× використовується в PHP 8.2+, але CVE-2026-111497 перетворив розпакування на вектор віддаленого виконання коду.

    • StepFunмісце 7

      Найновіший запис у списку і єдиний, у вбудованому декодері якого одночасно з'явилося віддалене виконання коду в Node.js, Bun, PHP і Python.

    • Kimiмісце 9

      Найновіша бібліотека тут — і вже має віддалене виконання коду без автентифікації: саме шаблон «розпакування на вході» з контекстної історії.

    • DeepSeek

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Qwen

      У його списку названо інакше: відкрийте весь список.

      див. список
    8 ШІ поставили сюди
  5. 5

    Snappy

    Декодує зі швидкістю 1 500 МБ/с, коефіцієнт 2,089, і повністю обходить кодування Гаффмана. Її відома CVE (CVE-2023-43642) — у обгортці snappy-java, а не в ядрі C++.

    Увімкнули: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Не увімкнули: ChatGPT, Nova.

    У їхніх списках: Meta: див. список · Grok: див. список · Gemini: див. список · StepFun: див. список · Kimi: див. список · DeepSeek: див. список · Wenxin: див. список · Qwen: див. список

    Що відзначив кожен ШІ 8
    • Meta

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Grok

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Gemini

      У його списку названо інакше: відкрийте весь список.

      див. список
    • StepFun

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Kimi

      У його списку названо інакше: відкрийте весь список.

      див. список
    • DeepSeek

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Wenxin

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Qwen

      У його списку названо інакше: відкрийте весь список.

      див. список
    8 ШІ поставили сюди
  6. 6

    XZ / LZMA

    Найвищий коефіцієнт тут (3,43 у тесті ядра SquashFS), але декодування лише 35 МБ/с. Її найгірша CVE, CVE-2024-3094 з оцінкою 10,0, була підкинутою закладкою, а не помилкою розбору.

    Увімкнули: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Не увімкнули: ChatGPT, Nova.

    У їхніх списках: Meta: див. список · Grok: див. список · Gemini: див. список · StepFun: див. список · Kimi: див. список · DeepSeek: див. список · Wenxin: див. список · Qwen: див. список

    Що відзначив кожен ШІ 8
    • Meta

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Grok

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Gemini

      У його списку названо інакше: відкрийте весь список.

      див. список
    • StepFun

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Kimi

      У його списку названо інакше: відкрийте весь список.

      див. список
    • DeepSeek

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Wenxin

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Qwen

      У його списку названо інакше: відкрийте весь список.

      див. список
    8 ШІ поставили сюди
  7. 7

    bzip2

    Декодує зі швидкістю 34–90 МБ/с залежно від тесту, занадто повільно для живого HTTP. Її запис за межі буфера 2019 року (CVE-2019-12900) має 9,8 у NVD, але 4,4 у Red Hat.

    Увімкнули: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Не увімкнули: ChatGPT, Nova.

    У їхніх списках: Meta: див. список · Grok: див. список · Gemini: див. список · StepFun: див. список · Kimi: див. список · DeepSeek: див. список · Wenxin: див. список · Qwen: див. список

    Що відзначив кожен ШІ 8
    • Meta

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Grok

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Gemini

      У його списку названо інакше: відкрийте весь список.

      див. список
    • StepFun

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Kimi

      У його списку названо інакше: відкрийте весь список.

      див. список
    • DeepSeek

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Wenxin

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Qwen

      У його списку названо інакше: відкрийте весь список.

      див. список
    8 ШІ поставили сюди
  8. 8

    LZO

    Створений для декодування в реальному часі: 217 МБ/с і коефіцієнт 2,64 у тесті SquashFS, а деінде заявлено 780 МБ/с. Її цілочисельне переповнення 2014 року (CVE-2014-4607) показало, як швидко старіє старий швидкий код на C.

    Увімкнули: Meta, Grok, Gemini, StepFun, DeepSeek. Не увімкнули: ChatGPT, Nova, Kimi, Wenxin, Qwen.

    У їхніх списках: Meta: див. список · Grok: див. список · Gemini: див. список · StepFun: див. список · DeepSeek: див. список

    Що відзначив кожен ШІ 5
    • Meta

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Grok

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Gemini

      У його списку названо інакше: відкрийте весь список.

      див. список
    • StepFun

      У його списку названо інакше: відкрийте весь список.

      див. список
    • DeepSeek

      У його списку названо інакше: відкрийте весь список.

      див. список
    5 ШІ поставили сюди
  9. 9

    Zopfli

    Робить вивід DEFLATE на 3–8% меншим, але час стиснення — приблизно у 81–100 разів довший. Не додає поверхні атаки на декодер, бо його вивід може прочитати будь-який клієнт gzip.

    Увімкнули: StepFun, Kimi, Qwen. Не увімкнули: ChatGPT, Meta, Grok, Gemini, Nova, DeepSeek, Wenxin.

    У їхніх списках: StepFun: див. список · Kimi: див. список · Qwen: див. список

    Що відзначив кожен ШІ 3
    • StepFun

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Kimi

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Qwen

      У його списку названо інакше: відкрийте весь список.

      див. список
    3 ШІ поставили сюди
  10. 10

    LZW (Unix compress)

    Словниковий кодер 1980-х, на якому працюють Unix compress і GIF. Його патент закінчився 20 червня 2003 року, а браузери ніколи не декодували його нативно, тож сьогодні він не дає жодного виграшу в мережі.

    Увімкнули: Meta, Kimi. Не увімкнули: ChatGPT, Grok, Gemini, Nova, StepFun, DeepSeek, Wenxin, Qwen.

    У їхніх списках: Meta: див. список · Kimi: див. список

    Що відзначив кожен ШІ 2
    • Meta

      У його списку названо інакше: відкрийте весь список.

      див. список
    • Kimi

      У його списку названо інакше: відкрийте весь список.

      див. список
    2 ШІ поставили сюди

Трійка докладно ↓

02Докладніше про трійку

Рейтинг вище. Тут — докладніше про перші три місця: що це, чому вони тут і що варто знати.

Трійка ранжується за сумішшю ступеня стиснення, швидкості розпакування та помилок у розпакувальнику, тож одна лише швидкість не визначає порядок: LZ4 розпаковується найшвидше, але займає третє місце. Швидкість і ступінь стиснення взято з одного тесту Silesia, а цифри частки в вебі (60% проти 29%) вимірюють щось

1Zstandard (zstd)

№ 1 — Zstandard (zstd). У списках 8 з 10 ШІ; медіанне місце там: 1. Розпаковується приблизно в 3,6 раза швидше за Brotli при майже тому самому ступені стиснення, а помилок у ньому мало, і вони поза розпакувальником.

А ви знали

  • У 2018 році Канонікал перевірив zstd на рівні 19 на пакетах .deb для Ubuntu. Розпакування було значно швидшим, ніж у xz, але пакети стали приблизно на 6% більшими. Потім Arch Linux повідомив, що перехід на zstd пришвидшив розпакування в 14 разів, а розмір зріс лише на 0,8%.

Що це
Швидкий інструмент стиснення, який Facebook (Meta) випустив у 2016 році.
Чим сильніший
Розпаковується в 3,6 раза швидше за Brotli, майже з тим самим ступенем стиснення.
Кому підходить
Підходить серверам, яким потрібні швидкість і малі файли; слабший там, де браузери або мережі доставки контенту (CDN) його не підтримують.
  • Швидкість розпакування і ступінь стиснення1 550 МБ/с розпакування, ступінь стиснення 2,896

Вікіпедія · Wikidata

Чому він тут
  • В офіційному тесті lzbench на наборі даних Silesia zstd 1.5.7 розпаковує дані зі швидкістю 1 550 МБ/с. Brotli 1.1.0 дає 425 МБ/с, а zlib 390 МБ/с. Це приблизно в 3,6 раза швидше за Brotli.

  • У тій самій таблиці zstd має найкращий ступінь стиснення: 2,896. Brotli має 2,883, zlib 2,743, LZ4 2,101 і Snappy 2,089. Стискає він зі швидкістю 510 МБ/с, проти 290 у Brotli і 105 у zlib.

А ви знали
  • Zstandard вміє й нижче за рівень 1. Його рівні йдуть від мінус 7, найшвидшого, до 22, найсильнішого, але найповільнішого під час стискання. Тож один інструмент покриває і швидке легке стискання, і дуже важке.

Історія
  • У 2016 році Facebook (тепер Meta) випустив Zstandard 1.0 за ліцензією BSD. Його створили швидшим за Deflate, метод, на основі якого працюють zip і gzip і який два десятиліття давав добрий баланс швидкості та розміру.

Що варто врахувати
  • Для файлів, які зберігають один раз і віддають багато разів, Brotli на рівні 11 у одному тесті досі дав найменші файли. Проте zstd на рівні 19 стискає приблизно вчетверо швидше.

  • Підтримка в браузерах новіша. Chrome додав zstd у версії 123 (2024). В обговоренні Chromium рушій Firefox (Gecko) ще не подав жодного сигналу, а багато мереж доставки контенту (CDN) не поспішали його підтримувати.

Що кажуть люди
  • Brotli appears to outperform zStandard in both compression ratio and compression time up until level 9 for this response. — Paul Calvano

Де дізнатися більше
  • Відкрийте README і перейдіть до розділу «Benchmarks». Порівняйте рядки zstd з рядками Brotli, zlib і LZ4 та подивіться, як швидко zstd розпаковується поруч зі своїм ступенем стиснення.

Порівняти першу трійку ↓

2gzip / DEFLATE (zlib)

№ 2 — gzip / DEFLATE (zlib). У списках 8 з 10 ШІ; медіанне місце там: 2. Досі стискає більшість JavaScript для вебу і працює всюди, але розпаковує найповільніше з трьох і має критичну помилку в розпакувальнику.

А ви знали

  • Марк Адлер написав код розпакування zlib разом із Жан-Лу Гайї, який написав стискання. Адлер також працював над місією НАСА Mars Exploration Rover, де очолював дослідження концепції, яку згодом обрали для місії 2003 року.

Що це
Класичний метод gzip, вбудований майже в кожну мову програмування та веб-сервер.
Чим сильніший
Найпоширеніший: він стискає 60% JavaScript для вебу, Brotli лише 29%.
Кому підходить
Підходить застарілим системам, які мають працювати всюди; погано підходить для швидкості чи малих файлів.
  • Швидкість розпакування і ступінь стиснення390 МБ/с розпакування, ступінь стиснення 2,743

Вікіпедія · Wikidata

Чому він тут
  • zlib 1.3.1 — найповільніший і найслабший з трьох в офіційному тесті Silesia. Він розпаковується зі швидкістю 390 МБ/с, проти 1 550 у zstd. Стискає зі швидкістю 105 МБ/с із ступенем стиснення 2,743.

  • У розпакувальнику zlib (inflate) є серйозна помилка CVE-2022-37434 у версіях zlib до 1.2.12. Велике поле заголовка gzip може спричинити переповнення буфера. Її оцінено як 9,8 (критична), і постраждали лише програми, які викликають inflateGetHeader.

Історія
  • Перша публічна версія zlib, 0.9, вийшла 1 травня 1995 року. Спочатку її створювали для бібліотеки зображень libpng. Її написали Жан-Лу Гайї та Марк Адлер.

Qwen поставили його першим. Що вони в ньому побачили
  • Qwen: Невидима легеня інтернету: стискає 90% веб-трафіку, тихо випускаючи CVE з пошкодженням пам'яті раз на кілька років.

Порівняти першу трійку ↓

3LZ4

№ 3 — LZ4. У списках 8 з 10 ШІ; медіанне місце там: 4. Далеко найшвидший розпакувальник, але його низький ступінь стиснення означає більші файли, і в ньому є справжня помилка.

А ви знали

  • LZ4 вбудований в ядро Linux з версії 3.11. FreeBSD, Illumos, ZFS on Linux і ZFS-OSX також використовують його для стискання у реальному часі у своїх файлових системах ZFS.

Що це
Дуже простий стискач, створений для швидкості, випущений у 2011 році.
Чим сильніший
Розпаковується зі швидкістю 3 850 МБ/с, приблизно в 2,5 раза швидше за zstd.
Кому підходить
Підходить завданням, де швидкість важливіша за розмір; не для пересилання файлів мережею.
  • Швидкість розпакування і ступінь стиснення3 850 МБ/с розпакування, ступінь стиснення 2,101

Вікіпедія · Wikidata

Чому він тут
  • LZ4 1.10.0 розпаковується зі швидкістю 3 850 МБ/с — найшвидше в офіційному тесті Silesia. Це приблизно в 2,5 раза більше, ніж 1 550 МБ/с у zstd. Ціна — ступінь стиснення 2,101 проти 2,896 у zstd, тож файли лишаються більшими.

  • У LZ4 є справжня помилка в розпакуванні, CVE-2021-3520. Спеціально підготовлений файл може спричинити переповнення цілого числа і запис поза межами буфера. Національна база вразливостей США (NVD) оцінює її в 9,8, а Red Hat — у 8,6.

    Джерело ↗ ✓ підтверджено кількома ШІ
А ви знали
  • На відміну від DEFLATE з кодуванням Хаффмана, у LZ4 немає етапу ентропійного кодування (додаткового ущільнення). Кожен фрагмент даних починається з однобайтового маркера. Він поділений на дві половини по 4 біти: одна для кількості байтів без стискання, друга для довжини повтору.

Історія
  • У 2011 році Ян Колле випустив LZ4 за тиждень-два після того, як Google відкрив код Snappy, схожого швидкого стискача. Згодом LZ4 переганяв Snappy за швидкістю.

Що кажуть люди
  • I could only see an `acceleration` value to tune in the `lz4.h` file, which would allow me to make LZ4 even faster — ahf

Де дізнатися більше
  • Відкрийте README на розділі «Benchmarks». Подивіться, як LZ4 розпаковується найшвидше, а потім — на його ступінь стиснення. Саме менший ступінь і є ціною: більші файли для пересилання мережею.

Порівняти першу трійку ↓

Трійка поруч

Zstandard (zstd)gzip / DEFLATE (zlib)LZ4
У списках ШІ8 / 108 / 108 / 10
Швидкість розпакування і ступінь стиснення1 550 МБ/с розпакування, ступінь стиснення 2,896390 МБ/с розпакування, ступінь стиснення 2,7433 850 МБ/с розпакування, ступінь стиснення 2,101
Першим поставилиNovaQwen—

Місця з однаковою кількістю ШІ впорядковано за середнім місцем у списках самих ШІ.

03Варто знати

Що помітили ШІ, поки складали список.

Розрив у степені стиснення між zstd і Brotli залежить від корпусу даних: 0,4% на Silesia (2,896 проти 2,883), але 7% на вебактивах Cloudflare (2,86 проти 3,08), де допомагає вбудований вебсловник Brotli.

Помітили:
Увімкнули: Meta, Grok, StepFun, DeepSeek. Не увімкнули: ChatGPT, Gemini, Nova, Kimi, Wenxin, Qwen.
Джерело ↗

Перехід від рівня 1 до рівня 11 у Brotli піднімає коефіцієнт з 2,53 до 3,88 на enwik8, тоді як швидкість стиснення падає з 111,72 МБ/с до 0,35 МБ/с.

Помітили:
Увімкнули: ChatGPT. Не увімкнули: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen.
Джерело ↗

CVE-2026-111497 зачепила кожен випуск Brotli від 1.0.3 до 1.2.0 на всіх платформах. Вона потрапила в рантайми через копії, вбудовані в пакети Node.js, Bun, PHP і Python.

Помітили:
Увімкнули: Meta, Grok, StepFun, Kimi. Не увімкнули: ChatGPT, Gemini, Nova, DeepSeek, Wenxin, Qwen.
Джерело ↗

Цифри МБ/с різняться від тесту до тесту: таблиця zstd дає 1 550 проти 425 МБ/с для zstd проти Brotli, а супровідник zstd наводить приблизно 700 проти 500 МБ/с на вебсторінках.

Помітили:
Увімкнули: Meta, StepFun, DeepSeek. Не увімкнули: ChatGPT, Grok, Gemini, Nova, Kimi, Wenxin, Qwen.
Джерело ↗

04Що питають люди

Що таке алгоритм стиснення?

Метод, який зберігає дані меншою кількістю бітів, прибираючи надлишковість. Алгоритми без втрат, як zstd, стискають тестовий корпус Silesia зі степенем 2,896 і відновлюють його точно.

Джерело ↗
Як працюють алгоритми стиснення?

Вони замінюють повторювані рядки посиланнями назад (LZ77), а потім кодують результат ентропійним кодуванням Гаффмана або FSE. Brotli також використовує вбудований словник близько 120 КБ поширених вебфрагментів.

Який алгоритм стиснення найпотужніший?

За степенем стиснення — LZMA/xz і Brotli на максимальних налаштуваннях. Brotli рівня 11 досягає 3,88:1 на enwik8, але стискає лише зі швидкістю 0,35 МБ/с.

Чому тести стиснення не збігаються?

Результати змінюються залежно від корпусу, рівня і машини. Та сама пара zstd і Brotli вимірюється як 1 550 проти 425 МБ/с в одному тесті і як приблизно 700 проти 500 МБ/с в іншому.

Джерело ↗

05Як рахували

Простими словами, без формул.

1Питання

Топ-10 алгоритмів стиснення вебданих за мережевою ефективністю проти поверхні атаки пам'яті

2Де це застосовно

глобальні вебстандарти та інженерія мережевих протоколів

3На що дивилися

  • Швидкість розпакування і зменшення обсягу передачі порівняно з сирим HTTP-навантаженням
  • Складність структурного розбору і історична щільність вразливостей в еталонних декодерах на C
  • Офіційний тест Zstandard (lzbench, корпус Silesia, i7-9700K) — степінь стиснення і швидкість стискання та розпакування в МБ/с для zstd, Brotli, zlib, LZ4 і Snappy
  • Тест вебактивів Cloudflare (через OpenReplay) — середній степінь стиснення на реальних вебактивах: gzip 2,56, zstd 2,86, Brotli 3,08
  • HTTP Archive Web Almanac 2024 — який кодек насправді стискає зібрані вебвідповіді
  • Національний інститут стандартів і технологій, NVD / OpenCVE — вразливості з пошкодженням пам'яті та DoS у еталонному декодері C кожного кодека

4Хто ставив місця

Провідні ШІ: ChatGPT, Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Кожен сам склав свій список із десяти місць і до кожного місця назвав джерело.

5Як зведено місця

Те саме, назване різними ШІ по-різному, рахували як одне. Що більше ШІ включили пункт до свого списку і що вище поставили, то вище його місце. «Згода ШІ» показує, у скількох ШІ цей пункт був у власному списку. Джерела — лише ті, що знайшли самі ШІ, нічого не додано вручну.

06Список кожного ШІ окремо

🇺🇸 ChatGPT10 місць · нотаток: 3

Те саме питання, відповідь одного ШІ — ChatGPT. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    Brotli (br)

    Переможець для вебу має незручну виноску: один спотворений потік відкрив помилку декодера з оцінкою CVSS 3.1 — 9,8.

  2. 2
    Zstandard (zstd)

    Швидка сучасна альтернатива може декодувати майже 479 MiB/s в одному опублікованому корпусному тесті, хоча це не гарантія, специфічна для HTTP.

  3. 3
    Gzip / DEFLATE

    Чемпіон сумісності лишається переконливим: в одному текстовому бенчмарку gzip -6 і zstd 3 дали однаковий вивід 1,48 МБ, але zstd завершив стиснення швидше.

  4. 4
    LZ4

    У одному змішаному корпусі LZ4 декодував 742,106 MiB/s, що ілюструє привабливість швидкості, коли економія пропускної здатності вторинна.

    Джерело ↗
  5. 5
    Snappy

    Snappy надає перевагу швидкості розпакування і простій інтеграції над вичавлюванням кожного байта з корисного навантаження.

    Джерело ↗
  6. 6
    Deflate (сирий потік DEFLATE)

    Видалення обгортки gzip не змінює базового кодування DEFLATE, але змінює контракт формату і очікування сумісності.

  7. 7
    LZMA / XZ

    Степінь стиснення може бути чудовим, але один опублікований текстовий тест зайняв 1 771 мс, щоб стиснути 10,07 МБ за допомогою xz -6.

  8. 8
    bzip2

    Його сортування блоків іноді дає менший розмір, ніж gzip, на деяких корпусах, але декодер значно повільніший за сучасні швидкі кодеки в наведеному тесті.

  9. 9
    LZHAM

    Його присутність у широких порівняннях кодеків робить його корисною еталонною точкою високого стиснення, але це не стандартний вибір для HTTP-кодування вмісту.

    Джерело ↗
  10. 10
    LZHAM / режими високого стиснення родини LZMA

    На крайньому кінці додатковий степінь часто коштує непропорційно більше часу і пам'яті кодера, тож це поганий вибір за замовчуванням для чутливих до затримки веб-відповідей.

    Джерело ↗

Що помітив ChatGPT

Zstandard і LZ4 можуть бути привабливими, коли важлива ціна процесора: наведений змішаний тест показує 478,733 MiB/s розпакування для zstd і 742,106 MiB/s для LZ4, причому LZ4 дає гірший степінь стиснення в цьому тесті.

Інцидент з Brotli у жовтні 2026 року нагадує, що степінь стиснення кодера нічого не каже про те, чи безпечно декодер відхиляє спотворені вхідні дані.

Ризик алгоритму розпакування не вимірюється лише кількістю CVE: одна першопричинна помилка декодера може вплинути на багато мовних пакетів, а відмови в обслуговуванні та пошкодження пам'яті мають різні наслідки.

🇺🇸 Meta10 місць

Те саме питання, відповідь одного ШІ — Meta. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    OpenSSL (libssl, libcrypto)

    Вбудований у Node.js, Python, PHP 8.x, .NET 8/9/10 — 69,3% веб-PHP досі працює на ньому; у вересні 2026 виправлено 14 вразливостей, зокрема CVE-2026-84782, CVSS 8,2, витік купи DTLS

  2. 2
    zlib (libz)

    82% сайтів віддають gzip через zlib — у PHP, gzip у Python, zlib у Node, Zlib у Ruby, у кожній збірці Nginx — переповнення купи CVE-2022-37434 через велике поле extra у заголовку gzip

  3. 3
    libcurl

    Забезпечує автоматичне розпакування в PHP cURL + CURLOPT_ENCODING, що спричинило віддалене виконання коду через Brotli; Guzzle за замовчуванням задає порожнє значення — 33 CVE у скануванні SBOM, 6 критичних за аудитом

    Джерело ↗
  4. 4
    libxml2

    XML-парсер у PHP DOM, Python lxml, .NET — 17 вразливостей у 2.9.10 за cvedetails, 4 відмови в обслуговуванні в Ubuntu USN-7974-1 CVE-2025-8732, CVE-2026-0989/0990/0992

  5. 5
    PCRE / PCRE2 (libpcre)

    Рушій регулярних виразів за PHP preg_, Python re, Nginx — CVE-2007-1660, переповнення буфера через кілька форм класу символів; CVE-2008-2371, переповнення купи в pcre_compile

  6. 6
    SQLite (libsqlite3)

    Вбудована БД у PHP PDO, Python sqlite3, Node sqlite — CVE-2026-51297, використання після звільнення при розборі JSON з віддаленим виконанням коду; CVE-2019-5018, CVSS 8,1, віддалено через спеціально створений SQL

  7. 7
    Brotli (libbrotlidec / libbrotlienc)

    Вбудований C-декодер у Node zlib, Bun, Python brotli, збірках PHP для Windows 8.2–8.5 — CVE-2026-111497, віддалене виконання коду Node2Shell/HTTP2Shell у всіх екосистемах

    Джерело ↗
  8. 8
    libpng

    PNG-декодер у PHP GD, Python Pillow, .NET System.Drawing — 5 CVE у пакеті жовтня 2025 року: CVE-2025-64505/64506/64720/65018/66293, переповнення купи

    Джерело ↗
  9. 9
    libjpeg-turbo

    JPEG-кодек у PHP GD, Python Pillow, Node sharp — CVE-2018-20330, переповнення цілих чисел, що призводить до переповнення купи в tjLoadImage через pitchheight BMP

  10. 10
    Expat (libexpat)

    XML-парсер у Python xml.parsers.expat, Node xml2js, PHP XML — CVE-2022-40674, використання після звільнення; CVE-2023-52426 та інші; живить RSS- і Atom-стрічки

🇺🇸 Grok10 місць · нотаток: 1

Те саме питання, відповідь одного ШІ — Grok. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    OpenSSL

    Криптографічна основа практично кожного HTTPS-з'єднання; понад 110 відстежуваних CVE зі стабільним потоком серйозних проблем пам'яті навіть у 2026 році.

  2. 2
    zlib

    Вбудована майже в кожне середовище виконання мов і веб-сервер; кілька критичних переповнень купи (зокрема 2022 і 2026 років) досі трапляються, попри десятиліття аудитів.

  3. 3
    libcurl

    HTTP-клієнт, вбудований у PHP, Python, багато розширень Node і безліч бекендів; безперервний потік CVE з безпекою пам'яті, деякі з високою серйозністю у 2026 році.

  4. 4
    libxml2

    Ядро розбору XML для PHP, Python, багатьох стеків Java і Ruby; стійке джерело помилок використання після звільнення та буферів, які регулярно отримують CVSS 7–9.

  5. 5
    Brotli (libbrotli)

    Саме та бібліотека, що змусила екстрено перезбирати Windows-збірки PHP 26 жовтня 2026 року; одна критична помилка запису за межі буфера в декодері поширилася на Node, Python, .NET і PHP.

    Джерело ↗
  6. 6
    libpng

    Поширений декодер зображень, потрібний майже кожному вебсередовищу, що віддає або обробляє PNG; історія переповнень буфера триває меншими обсягами, ніж у парсерів вище.

    Джерело ↗
  7. 7
    SQLite

    Вбудована практично в кожне середовище мов і багато вебфреймворків; проблеми безпеки пам'яті тут рідші, ніж у мережевих парсерах, але трапляються і мають великий вплив, коли з'являються.

  8. 8
    libjpeg / libjpeg-turbo

    Шлях декодування JPEG присутній майже в кожному вебстеку обробки зображень; періодичні критичні переповнення тримають його в списку спостереження.

  9. 9
    Expat (libexpat)

    Легкий XML-парсер досі використовується багатьма стеками на C і розширеннями мов; менша поверхня, ніж у libxml2, але не захищений від пошкодження пам'яті.

  10. 10
    PCRE / PCRE2

    Рушій регулярних виразів у PHP, Nginx, багатьох середовищах мов; складна логіка збігів породила кілька серйозних проблем пам'яті з роками.

Що помітив Grok

OpenSSL, zlib і libcurl досі входять до трійки найбільш поширених програмних компонентів на планеті; їхня сукупна історія CVE показує, що продуктивний код на C досі є головним залишковим ризиком навіть усередині «безпечних для пам'яті» мовних екосистем.

🇺🇸 Gemini10 місць · нотаток: 1

Те саме питання, відповідь одного ШІ — Gemini. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    OpenSSL (libcrypto / libssl)

    Захищає TLS-трафік понад 80% HTTPS-серверів, але одна відсутня перевірка меж у 2014 році витекла з приватною пам'яттю всього вебу.

  2. 2
    zlib (libz)

    Тихо вбудована в середовища Node.js, Python і PHP, через що 47,1% HTTP-відповідей серверів залежать від 30-річної моделі пам'яті.

  3. 3
    cURL (libcurl)

    Щодня обробляє мільярди автоматичних викликів бекенд-API, але одне переповнення купи SOCKS5 у 2023 році відкрило сучасні мікросервіси для віддаленого захоплення.

    Джерело ↗
  4. 4
    libxml2

    Розбирає ненадійні документи за Python lxml, Ruby Nokogiri і PHP DOM, накопичуючи понад 100 історичних вад безпеки пам'яті.

  5. 5
    PCRE / PCRE2

    Виконує регулярні вирази в правилах переписування Nginx і рушії preg у PHP, де патерни з вкладеною рекурсією регулярно спричиняють записи за межі буфера в купі.

  6. 6
    glibc

    Утворює кореневий шар системних викликів кожного стандартного Linux-контейнера для вебу, де переповнення динамічного компонувальника ld.so давало неавтентифікований локальний root.

  7. 7
    SQLite (libsqlite3)

    Вбудовує повний SQL-рушій у PHP PDO, Python sqlite3 і середовища Node.js, створюючи шляхи пошкодження пам'яті через спеціально створені віртуальні таблиці.

  8. 8
    ICU (libicu)

    Керує порівнянням Unicode у модулях intl Node.js і PHP з таблицями розбору настільки складними, що переповнення цілих чисел призводять до виконання довільного коду.

  9. 9
    Brotli (libbrotli)

    Вбудований безпосередньо в PHP і Node.js для швидкого розпакування потоків; жовтневий запис за межі буфера 2026 року вимагав терміновых перезбірок бінарників кількох версій.

    Джерело ↗
  10. 10
    ImageMagick (libMagickCore)

    Передає ненадійні аватари користувачів і медіафайли застарілим декодерам на C, що викликає повторювані пошкодження пам'яті та інциденти віддаленого впровадження команд.

    Джерело ↗

Що помітив Gemini

Серверні мови високого рівня забезпечують безпеку пам'яті в коді застосунку, але делегування розбору байтів базовим бібліотекам на C/C++ означає, що понад 80% віддалених вразливостей виконання коду виникають нижче межі середовища виконання мови.

🇺🇸 Nova5 місць · нотаток: 2

Те саме питання, відповідь одного ШІ — Nova. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    Zstandard (Zstd)

    Розпаковує зі швидкістю 200–400 МБ/с при степені стиснення 2,5–3,5×, але його вада перевірки потоку 2026 року підвищила ризики відмови в обслуговуванні.

    Джерело ↗
  2. 2
    Brotli

    Компресор Google зі степенем 4–5× використовується в PHP 8.2+, але CVE-2026-111497 перетворив розпакування на вектор віддаленого виконання коду.

  3. 3
    Gzip (DEFLATE)

    Перший веб-компресор, що досі обробляє 80% HTTP-трафіку зі степенем 1,5–2×, але переслідується історичними вадами zlib.

    Джерело ↗
  4. 4
    LZ4

    Найшвидший розпаковувач зі швидкістю понад 500 МБ/с, але лише зі степенем 1,5–2×; його простота уникає складних вразливостей, як у Brotli/Zstd.

    Джерело ↗
  5. 5
    zlib (gzip/deflate)

    Основна бібліотека для Gzip з історичними помилками читання за межами буфера (CVE-2022-37434), але досі найбезпечніший вибір для застарілих систем.

Що помітив Nova

Нульові CVE у LZ4 і розпакування 512 МБ/с роблять його найбезпечнішим високопродуктивним вибором, але степінь стиснення 1,6× обмежує економію пропускної здатності.

Zstd пропонує найкращий баланс швидкості (321 МБ/с) і степеня (2,87×), але вада DoS 2026 року доводить, що навіть сучасні алгоритми не захищені від атак на граничні випадки.

🇨🇳 StepFun10 місць · нотаток: 1

Те саме питання, відповідь одного ШІ — StepFun. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    OpenSSL (libssl / libcrypto)

    330 CVE в записах і одна рекомендація від січня 2026 року, що вийшла з 12 одразу — кожне HTTPS-рукостискання у вебі проходить через нього.

    Джерело ↗
  2. 2
    zlib (libz)

    19 CVE і переповнення купи inflate(), яке сиділо в стандартному шляху HTTP gzip аж до версії 1.2.12.

  3. 3
    libcurl

    PHP, Python і Ruby постачають його, і переповнення купи SOCKS5 отримало 9,8 від NVD.

    Джерело ↗
  4. 4
    libxml2

    116 CVE і одне переповнення цілих чисел, що одночасно поширилося в PHP і Swift.

    Джерело ↗
  5. 5
    PCRE2

    Регулярні вирази в C у preg_* PHP та location-блоках nginx — 19 CVE лише в продукті PCRE2, 66 у всій родині PCRE.

    Джерело ↗
  6. 6
    SQLite3

    87 CVE на лічильнику — і сторінка супровідника стверджує, що більшість із них до вас не стосується.

  7. 7
    декодер Brotli від Google на C

    Найновіший запис у списку і єдиний, у вбудованому декодері якого одночасно з'явилося віддалене виконання коду в Node.js, Bun, PHP і Python.

  8. 8
    libexpat

    70 CVE у потоковому XML-парсері, який підключають стандартна бібліотека Python і довгий хвіст сервісів на C++.

  9. 9
    libjpeg-turbo

    Кожен завантажений аватар у вебі проходить через C-декодер JPEG з 17 CVE за плечима.

  10. 10
    glibc

    Фундамент під кожним процесом PHP, Node.js, Python, Ruby і .NET на Linux — 168 CVE на одному дзеркалі, 13 на іншому, за одним і тим самим запитом.

Що помітив StepFun

curl — найочевидніший приклад розбіжності вимірювань: проєкт рахує 146 виправлень безпеки за свою історію, а його автор стверджує, що з 2021 року опубліковано лише дві вразливості ВИСОКОЇ серйозності, тоді як незалежний аналізатор (AISLE) виявив ще шість CVE, які передові системи ШІ повністю пропустили.

🇨🇳 Kimi10 місць · нотаток: 1

Те саме питання, відповідь одного ШІ — Kimi. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    OpenSSL

    Одна бібліотека C під ~90% зашифрованого трафіку вебу з безперервним ланцюжком рекомендацій CVE з 2002 по 2026 рік.

  2. 2
    zlib

    Вбудована в PHP, Node, Python і curl — і навіть всередині самого OpenSSL; його найгірша помилка inflate() отримала 9,8.

  3. 3
    libcurl

    HTTP-клієнт, на якому тримається розширення curl для PHP, тягне за собою ще п'ять бібліотек C у кожній інсталяції — і продовжує випускати власні CVE.

    Джерело ↗
  4. 4
    libxml2

    XML-парсер PHP поглинув п'ять CVE з пошкодженням пам'яті лише в одному оновленні 2025 року — використання після звільнення, плутанина типів і переповнення стеку.

  5. 5
    libexpat

    SAX-парсер у Python та незліченних інструментах виправив 14 вразливостей в одному релізі червня 2026 року.

  6. 6
    nghttp2

    Еталонна C-реалізація HTTP/2, яку підключають curl і PHP, відповідає за класи CVE Rapid Reset і CONTINUATION-flood.

    Джерело ↗
  7. 7
    PCRE2

    Кожен виклик preg_* у PHP запускає цей C-рушій регулярних виразів, чий JIT-компілятор перетворював спеціально створені патерни на читання за межами буфера з CVSS 9,1.

    Джерело ↗
  8. 8
    SQLite

    Усередині PHP, Python і кожного браузера — настільки чистий, що «критичні» CVE 2026 року, подані на нього, були визнані хибними звітами, згенерованими ШІ.

  9. 9
    Brotli (libbrotli)

    Найновіша бібліотека тут — і вже має віддалене виконання коду без автентифікації: саме шаблон «розпакування на вході» з контекстної історії.

  10. 10
    GnuTLS

    TLS за замовчуванням у сімействі RHEL: помилка подвійного звільнення в перевірці сертифікатів, знайдена Project Zero, — її фірмовий клас помилок.

Що помітив Kimi

Сам підрахунок CVE втрачає якість як міра: NVD перейшов на вибіркове збагачення на тлі 44 509 розкриттів у 2025 році (обсяг зріс на 263% з 2020 року), а в 2026 році сфабриковані CVE для SQLite отримали 9,8–10,0, перш ніж їх спростували.

🇨🇳 DeepSeek10 місць

Те саме питання, відповідь одного ШІ — DeepSeek. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    OpenSSL 2026

    296 CVE, 40 з оцінкою 9,0+ і 27 у діапазоні 7,0–8,9 — жодна інша спільна C-бібліотека не поєднує таке розповсюдження з такою щільністю історії віддалених пошкоджень пам'яті.

  2. 2
    zlib 2026

    19 CVE з 2002 року, 9 з публічними експлойтами і CVSS 9,8 — переповнення купи в inflate, декомпресорі за gzip, PNG і безліччю стеків HTTP.

  3. 3
    libxml2 2026

    Відстежується 133 CVE — XML-парсер з більшою кількістю задокументованих вад пошкодження пам'яті, ніж у більшості ядер операційних систем, тихо завантажується PHP, Python і Ruby.

  4. 4
    libcurl 2026

    Універсальний HTTP-клієнт: 18 CVE виправлено в одному релізі червня 2026 року, зокрема 25-річна помилка пам'яті; вбудований у середовища PHP, Node.js і Python.

  5. 5
    glibc 2026

    162 CVE у glibc, базовій системній бібліотеці C – найглибша з можливих спільних залежностей, зокрема переповнення буфера стеку в ld.so, до якого можна дістатися в програмах із setuid

  6. 6
    libpng 2026

    Кожне PNG-зображення, що проходить через середовище вебу, торкається libpng; лише 2026 рік приніс переповнення буфера в купі та використання після звільнення в обробці фрагментів.

    Джерело ↗
  7. 7
    libjpeg-turbo 2026

    17 CVE в бібліотеці, що декодує майже кожен JPEG у вебі; переповнення буфера в купі в 2026 році при злитому upsampling показує, що поверхня атаки декодування зображень досі активна.

    Джерело ↗
  8. 8
    PCRE2 2026

    Рушій регулярних виразів у PHP і багатьох вебсерверах; 2026 рік приніс запис за межі буфера через переповнення цілих чисел і помилку пошкодження пам'яті в JIT у pcre2_jit_match.

    Джерело ↗
  9. 9
    SQLite 2026

    Типова база даних PHP і мобільних/вебсередовищ; спеціально створена сторінка FTS5 може спровокувати читання за межами буфера та переповнення буфера купи в рушії повнотекстового пошуку.

  10. 10
    nghttp2 2026

    C-стек HTTP/2 за curl, Node.js і багатьма зворотними проксі; обробка спотворених кадрів призвела до CVE відмови в обслуговуванні та перевірки стану у 2026 році.

    Джерело ↗
🇨🇳 Wenxin10 місць

Те саме питання, відповідь одного ШІ — Wenxin. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    zlib

    Розгорнутий на 99% веб-серверів і середовищ як базова реалізація DEFLATE, з понад 12 задокументованими вадами пам'яті з CVSS 8,0+ за 20 років публічного використання

  2. 2
    ядро PHP (реалізація на C)

    Забезпечує 70% глобальних веб-сайтів на веб-серверах; лише у жовтні 2026 року публічно розкрито три нові неавтентифіковані вади пошкодження пам'яті з CVSS 9,0+ і віддаленим виконанням коду

  3. 3
    OpenSSL

    Бібліотека TLS-термінації, яку використовують 98% усіх HTTPS-веб-серверів, з довгою історією критичних віддалених вад пам'яті, зокрема Heartbleed 2014 року, CWE-125, читання за межі буфера

  4. 4
    libc (glibc)

    Системна бібліотека стандартного C, від якої залежать усі вебсередовища Linux; містить критичні вади, як Ghost 2016 року (CVE-2015-0235), що дозволяв неавтентифікованим віддалено виконувати код

  5. 5
    libbrotli

    Бібліотека декодера Brotli, тепер вбудована в .NET, Node.js і Apache; публічний PoC віддаленого виконання коду (CVE-2026-111497) опубліковано на GitHub за день до 27 жовтня 2026 року

    Джерело ↗
  6. 6
    libcurl

    Бібліотека передачі URL, вбудована майже в кожне серверне середовище, що робить вихідні HTTP-запити; має 27 задокументованих вад пошкодження пам'яті з CVSS 8,0+ за свою історію

    Джерело ↗
  7. 7
    SQLite

    Бібліотека вбудованої БД, попередньо вбудована в PHP, Python, Node.js і Ruby; має стабільну історію віддалених вад пам'яті під час обробки ненадійного SQL

  8. 8
    libxml2

    Бібліотека розбору XML, якою користуються майже всі серверні вебфреймворки; відповідає за десятки історичних віддалених XXE і переповнень буфера при обробці ненадійного XML

  9. 9
    zstd (libzstd)

    Швидка бібліотека стиснення нового покоління, тепер включена до Nginx 2026 року, Node.js 22+ і сучасних вебсередовищ; лише 3 задокументовані критичні CVE через молодшу кодову базу

    Джерело ↗
  10. 10
    libpng

    Бібліотека декодування PNG, вбудована в усі серверні мови, що обробляють зображення від користувачів; має 18 публічно задокументованих критичних вад переповнення буфера з часу першого випуску в 1995 році

    Джерело ↗
🇨🇳 Qwen10 місць · нотаток: 1

Те саме питання, відповідь одного ШІ — Qwen. Підсумковий список вище об'єднує всі ШІ.

  1. 1
    zlib

    Невидима легеня інтернету: стискає 90% веб-трафіку, тихо випускаючи CVE з пошкодженням пам'яті раз на кілька років.

    Джерело ↗
  2. 2
    OpenSSL (libssl)

    Криптографічний фундамент, що захищає веб, але його величезна кодова база на C — постійна мішень для катастрофічних пошкоджень купи, як Heartbleed.

    Джерело ↗
  3. 3
    libcurl

    Універсальний рушій передачі даних для бекенд-середовищ; нещодавно виявлено, що він обробляє стани залежностей потоків HTTP/2 з небезпечною логікою використання після звільнення.

    Джерело ↗
  4. 4
    libxml2

    Парсер, що обробляє ненадійні SOAP- і XML-дані, спричинив переповнення буфера в купі в PHP2Shell у жовтні 2026 року в потокових обгортках.

    Джерело ↗
  5. 5
    libuv

    Асинхронний пульс Node.js, що керує пулами потоків і файловим I/O, інколи спотикається на гонках умов у керуванні пам'яттю на рівні C.

    Джерело ↗
  6. 6
    libsqlite3

    Найбільш розгорнутий у світі рушій баз даних, що тихо виконує складні автомати SQL всередині вебфреймворків без меж безпечної пам'яті.

    Джерело ↗
  7. 7
    libpng

    Декодер зображень, який безумовно довіряє заголовкам пікселів, історично допускав масові пошкодження купи від одного спотвореного завантаження.

    Джерело ↗
  8. 8
    libjpeg

    Перетворюючи дискретні косинусні перетворення в буфери пам'яті, ця бібліотека витримала десятиліття цілочисельних переповнень у ненадійних заголовках зображень.

    Джерело ↗
  9. 9
    libicu

    Керує величезною складністю порівняння Unicode на C, інколи відкриваючи глибокі переповнення буфера при розборі спотворених міжнародних рядків.

    Джерело ↗
  10. 10
    PCRE (Perl-сумісні регулярні вирази)

    Оцінювання рекурсивних регулярних виразів на C запрошує катастрофічний бектрекінг і переповнення стеку, коли його годують спеціально створеними рядками пошуку.

    Джерело ↗

Що помітив Qwen

Надзвичайні патчі PHP від жовтня 2026 року показують, що мови з безпечною пам'яттю на кшталт PHP досі делегують розбір мережевих байтів некерованим нативним бібліотекам, як Brotli і libxml2, створюючи системне тертя.