← Весь месяц

27 октября 2026 г.October 27, 2026

27 октября 2026 г.October 27, 2026 15 новостейstories

• Безопасность Важно PHP2Shell: критические RCE в PHP уже эксплуатируются, CISA внесла их в KEVPHP2Shell: critical PHP RCE flaws now exploited in the wild, added to CISA KEV Две уязвимости PHP с оценкой CVSS 9.2 позволяют выполнить код без аутентификации почти на любом PHP начиная с 5.4. Патчи вышли 21 октября, к 24-му зафиксированы успешные атаки, 26-го CISA добавила обе CVE в каталог эксплуатируемых.Two PHP flaws rated CVSS 9.2 allow unauthenticated code execution on nearly every PHP version since 5.4. Patches shipped Oct 21, successful attacks were confirmed by Oct 24, and CISA added both CVEs to its exploited catalog on Oct 26.
• Безопасность Важно HTTP2Shell: уязвимость в декодере Brotli вызвала экстренные патчи Node.js, .NET, Python и PHPHTTP2Shell: Brotli decoder flaw triggers emergency patches for Node.js, .NET, Python and PHP CVE-2026-111497 — запись за границей буфера в C-декодере Brotli, библиотеке сжатия, встроенной в огромное количество рантаймов. Публичные PoC есть, Imperva показала RCE на официальной сборке Node.js. Обновлять нужно сами рантаймы, системный libbrotli не спасает.CVE-2026-111497 is an out-of-bounds write in Brotli's C decoder, a compression library bundled into a huge number of runtimes. Public PoCs exist and Imperva demonstrated RCE on an official Node.js build. Runtimes themselves must be updated — patching the system libbrotli is not enough.
• Безопасность Важно Ключи восьми промежуточных CA eMudhra оказались подбираемыми — trust store по всему миру обновляютсяEight eMudhra intermediate CA keys were guessable — trust stores everywhere are being patched Закрытые ключи промежуточных сертификатов eMudhra можно было восстановить, а значит — выпустить доверенный TLS-сертификат для любого домена. Браузеры уже заблокировали их, Chrome 27 октября удаляет корень emSign ECC Root CA – G3, а Python, Node.js, Go, Rust и дистрибутивы выпустили обновления.The private keys of eMudhra intermediate certificates could be recovered, enabling a trusted TLS certificate for any domain. Browsers have blocked them, Chrome removes the emSign ECC Root CA – G3 root on Oct 27, and Python, Node.js, Go, Rust and distros have shipped updates.
• AI Важно OpenAI выпустила GPT-6.1 Terra — вдвое дешевле предшественника и сразу в GitHub CopilotOpenAI releases GPT-6.1 Terra — half the price of its predecessor and live in GitHub Copilot Новая модель среднего класса заменяет GPT-5.6 Terra и стоит в API $1 за миллион входных и $5 за миллион выходных токенов. В тот же день она стала общедоступной в GitHub Copilot во всех основных средах.The new mid-tier model replaces GPT-5.6 Terra and costs $1 per million input and $5 per million output tokens in the API. The same day it became generally available in GitHub Copilot across all major surfaces.
• AI Важно Anthropic подала публичную заявку S-1 на IPO на NasdaqAnthropic publicly files S-1 for a Nasdaq IPO Разработчик Claude раскрыл финансовые показатели: выручка за первое полугодие 2026 года — $16.3 млрд против $1.2 млрд годом ранее. Компания планирует листинг под тикером ANT; размещение может стать одним из крупнейших в истории.The maker of Claude disclosed its financials: H1 2026 revenue of $16.3B versus $1.2B a year earlier. The company plans to list under the ticker ANT; the offering could be among the largest ever.
• Безопасность Важно Атака на цепочку поставок LiteLLM: вредоносная версия 1.107.0 попала в PyPI и DockerLiteLLM supply-chain attack: malicious 1.107.0 published to PyPI and Docker Через утёкший ещё в мае мастер-ключ злоумышленники захватили релизный пайплайн популярного AI-шлюза LiteLLM и выпустили версию с инфостилером и бэкдором. Нагрузка срабатывает при любом запуске Python, даже если LiteLLM не импортируется.Using a master key leaked back in May, attackers hijacked the release pipeline of the popular LiteLLM AI gateway and shipped a version with an infostealer and backdoor. The payload runs on every Python start, even if LiteLLM is never imported.
• Безопасность Arista закрыла эксплуатируемую 0-day в VeloCloud Orchestrator с CVSS 9.9Arista patches exploited VeloCloud Orchestrator zero-day rated CVSS 9.9 SQL-инъекция CVE-2026-114625 позволяет любому аутентифицированному пользователю, даже с ролью только для чтения, получить права суперпользователя в SD-WAN-оркестраторе. Это уже третья 0-day в VeloCloud Orchestrator примерно за четыре месяца; CISA внесла её в KEV 23 октября.SQL injection CVE-2026-114625 lets any authenticated user, even a read-only one, gain superuser rights in the SD-WAN orchestrator. It is the third VeloCloud Orchestrator zero-day in roughly four months; CISA added it to KEV on Oct 23.
• DevOps Постмортем Cloudflare: модель GLM-5.3 в Workers AI отдавала данные чужих запросов из-за бага SGLangCloudflare postmortem: GLM-5.3 on Workers AI leaked other customers' data via an SGLang bug Из-за несоответствия размера KV-кэша и контекстного окна, а также ошибки в SGLang, 155 ответов модели содержали фрагменты чужих запросов. Исправления уже в апстриме — всем, кто запускает SGLang в режиме disaggregated prefill/decode, нужно обновиться до 0.5.22.A mismatch between KV cache size and context window, plus a bug in SGLang, caused 155 model responses to include fragments of other customers' requests. Fixes are upstream — anyone running SGLang in disaggregated prefill/decode mode should upgrade to 0.5.22.
• Безопасность Кампания Gheist крадёт секреты GitHub Actions в 850+ аккаунтах через украденные токеныGheist campaign steals GitHub Actions secrets from 850+ accounts using stolen tokens Автоматизированная кампания пушит в репозитории вредоносный workflow, который печатает все секреты в base32 в обход маскировки и тут же удаляет запуск. Затронуты и приватные репозитории, и GitHub Enterprise Server; кампания продолжается.An automated campaign pushes a malicious workflow that prints every secret as base32 to bypass masking, then deletes the run. Private repos and GitHub Enterprise Server are hit too; the campaign is ongoing.
• AI Moonshot AI выпустила Kimi K3.1 Pro — открытые веса обещаны до 4 ноябряMoonshot AI launches Kimi K3.1 Pro, with open weights promised by Nov 4 Новая модель китайской Moonshot AI с контекстом 1M токенов по заявленным бенчмаркам агентного кодинга почти догоняет закрытые флагманы. Она уже доступна через API, а полные веса обещают выложить до 4 ноября — это может стать сильнейшей открытой моделью на рынке.The new model from China's Moonshot AI, with a 1M-token context, nearly matches closed flagships on claimed agentic-coding benchmarks. It is available via API now, and full weights are promised by Nov 4 — potentially the strongest open model available.
• DevOps AWS запустила Amazon ECS Gateway — управляемый ingress для сервисов ECSAWS launches Amazon ECS Gateway, managed ingress for ECS services Новый ресурс уровня аккаунта сам создаёт и обслуживает ALB, сертификаты ACM, DNS-имена, правила, target groups и security groups для сервисов ECS. Дополнительной платы нет — вы платите только за используемые ресурсы.A new account-level resource creates and manages ALBs, ACM certificates, hostnames, listener rules, target groups and security groups for ECS services. There is no extra charge — you pay only for the underlying resources.
• AI GitHub Copilot: «умные» разрешения для агента стали общедоступнымиGitHub Copilot assisted permissions are now generally available Теперь каждое действие агента Copilot — команда в терминале, доступ к файлу, открытие URL — классифицирует LLM: очевидно безопасное выполняется само, остальное требует подтверждения. Администраторы получили отдельные политики для этого режима.Every Copilot agent action — a terminal command, file access, opening a URL — is now classified by an LLM: clearly safe actions run automatically, everything else asks for approval. Admins get dedicated policies for the mode.
• Разработка GitHub запустил package firewall — прокси, фильтрующий npm-пакеты до установкиGitHub launches package firewall — a proxy that filters npm packages before install Новый сервис в публичном превью встаёт между вашими машинами и npm-реестром и блокирует вредоносные, уязвимые и слишком свежие пакеты. Это ответ на волну атак на цепочку поставок, где пакеты ставят агенты и CI без участия человека.A new public-preview service sits between your machines and the npm registry and blocks malicious, vulnerable and too-fresh packages. It targets the wave of supply-chain attacks where agents and CI install packages with no human in the loop.
• DevOps OpenTofu 1.13: меньше unknown на этапе plan, линтер и Symbol LibrariesOpenTofu 1.13: fewer unknowns at plan time, a linter and Symbol Libraries Новая версия открытого форка Terraform позволяет авторам модулей подсказывать типы, чтобы count и for_each вычислялись уже на этапе plan. Патч 1.13.2 закрывает проблемы безопасности, включая фильтрацию скомпрометированных сертификатов eMudhra. Есть ломающие изменения.The open-source Terraform fork lets module authors provide type hints so count and for_each resolve at plan time. The 1.13.2 patch fixes security issues, including filtering the compromised eMudhra certificates. There are breaking changes.
• AI JetBrains открыла исходники ThinkRail — агентной IDE с параллельными агентамиJetBrains open-sources ThinkRail, an agentic IDE built for parallel agents ThinkRail — инкубаторный проект JetBrains под Apache-2.0: каждый агент работает в своём git worktree, параллельно с другими, а контекст проекта хранится в графе SPEC.md-файлов рядом с кодом. Поддерживаются MCP, Agent Skills и любые модели.ThinkRail is a JetBrains incubator project under Apache-2.0: each agent works in its own git worktree in parallel with others, and project context lives in a graph of SPEC.md files next to the code. MCP, Agent Skills and any model provider are supported.