На этой неделе морозильная камера в супермаркете в Эстонии достигла 50°C — и это не был сбой, а кибератака. За одну ночь пострадали шесть стран. В Ирландии из магазинов убрали всю охлажденную продукцию, мясник в Бельгии выбросил сотни килограммов мяса, а некоторые из этих предприятий в 2026 году все еще использовали стандартные пароли. Вот чего люди не понимают о кибербезопасности: речь уже не только о вашем крипто или ваших паролях. Кто-то, сидящий в комнате где-то далеко, может испортить продовольственные запасы целой страны с помощью ноутбука. Следующая кибератака может не опустошить ваш кошелек — она может опустошить ваш холодильник.

Кто-то может разблокировать ваш телефон, используя напечатанную фотографию вашего лица, и большинство из вас даже не подозревают об этом. Большинство телефонов на Android используют базовую 2D-камеру для разблокировки по лицу — без инфракрасного света, без определения глубины, просто сравнение плоского изображения. Ученые уже много лет доказывают, что простой снимок достаточно, чтобы обойти эту систему. Это и есть та «безопасность», которая стоит перед вашими банковскими приложениями, вашими кошельками, вашими seed-фразами, всей вашей жизнью. И каждый раз, когда вы её используете, ваша фронтальная камера обрабатывает кадр вашего лица и сохраняет его локально в системных папках, которые вы никогда не открывали. Не зашифровано, не защищено — просто лежит там. Если вы используете разблокировку по лицу на любом устройстве, кроме флагманского с правильным определением глубины, сегодня же переключитесь на отпечаток пальца или надежный PIN-код. Ваше лицо — это единственный пароль, который вы никогда не сможете сменить.

Приложение, которое вы скачали для защиты своих аккаунтов, могло стать причиной взлома. На Android у Microsoft Authenticator была уязвимость, позволявшая вредоносным приложениям красть токены доступа к рабочим аккаунтам без каких-либо разрешений. Это приложение на вашем телефоне делает всё, что хочет. Уязвимость находилась в компоненте broker — той части, которая отвечает за аутентификацию между приложениями. Она неправильно проверяла доступ, поэтому любое случайное приложение могло просто войти и забрать ваши токены, как будто они принадлежали ему. Microsoft уже устранил эту проблему (CVE-2026-80097, CVSS 8.6 — высокая степень серьёзности), но если вы недавно не обновляли приложение Authenticator, вы всё ещё можете быть уязвимы. Это то, что меня особенно беспокоит. Люди устанавливают приложения-аутентификаторы, потому что им говорят, что это безопасно — и действительно, так оно и есть. Но когда сам инструмент безопасности имеет дыру, большинство людей даже не подумают проверить его. Обновляйте свои приложения. Не только ОС телефона, но и сами приложения. Особенно те, которым вы больше всего доверяете. Потому что именно их вы перестаёте замечать.

Я сделал пост о том, что происходило в интернете несколько дней назад, и он набрал 2,3 миллиона просмотров. С тех пор стало еще хуже. Уязвимость Brotli, которую случайно обнаружила OpenAI? Она эволюционировала. Теперь её называют HTTP2Shell, и она затрагивает все основные браузеры, все операционные системы, приложения вроде Discord, Slack, VS Code, 1Password. Исправления ещё не выпущены для всех систем. Генеральный директор Cloudflare сказал: «Каждую неделю будет ощущение, что небо падает». Polymarket буквально открыл азартную игру на то, будут ли в этом месяце раскрыты ещё более серьёзные уязвимости. Хакеры использовали ИИ-модели для автоматизированных атак на более чем 400 банков в Латинской Америке одновременно — круглосуточно, без перерывов. У X была уязвимость, позволявшая войти в аккаунт незнакомца, просто введя свой номер телефона. Аппаратный кошелёк Keystone был взломан через их Shopify API — были утечены имена клиентов и домашние адреса. Японская облачная компания потеряла 27 000 серверов, и Япония впервые в истории активировала киберзащиту военного уровня. Обновите свой браузер. Обновите свои приложения. Смените пароли. Включите 2FA повсюду. Октябрь ещё не закончился.

Разработчик просто вложил $2000 в bitcoin на сервер с уязвимостью PHP и бросил вызов всему интернету украсть эти деньги. Через 17 часов деньги всё ещё там. Люди пытаются сломать сервер, но никто не может реально использовать уязвимость. Помните, когда я писал о Маркусе Хатчинсе, который разоблачил фейковые AI-генерируемые эксплойты на GitHub? Вот это и есть доказательство. Уязвимость реальна. Но её практическое использование — совершенно другая история. $2000 лежат на сломанном сервере, а весь интернет не может до них дотянуться.

Один единственный баг поставил под угрозу взлома каждый браузер, каждую операционную систему и почти каждое приложение, которое вы используете. Уязвимость Brotli, которую OpenAI случайно обнаружила во время красного тестирования своих собственных систем, теперь эволюционировала от «node2shell» в то, что исследователи называют HTTP2Shell, и масштаб последствий огромен. Мы говорим не об одной библиотеке. Мы говорим о каждом крупном браузере: Chrome, Edge, Firefox. Каждой операционной системе, включая iOS. Электрон-приложениях, таких как Discord, Slack, VS Code, 1Password, Notion. Инструментах для работы с изображениями, PDF-ридеров, архиваторах, десктопных приложениях ИИ, даже curl. По сути, если что-то взаимодействует с интернетом или обрабатывает сжатые данные — оно, скорее всего, затронуто. Изначальная уязвимость CVE-2026-111497 уже была серьезной — удалённое выполнение кода без аутентификации через вредоносные сжатые данные. Но масштаб теперь расширился и охватывает почти всё, что вы используете ежедневно. Исправления ещё не доступны для всех затронутых сервисов. Обновите всё немедленно. Сначала браузеры, затем десктопные приложения, затем инструменты разработки. Если что-то предлагает обновление сегодня — не задавайте вопросов, просто установите его. Интернет работает на треснувшей основе, и трещины только стали намного шире.

Этот парень из ИТ только что спас всю компанию от атаки вымогателей в полночь — эта история безумна. Он буквально смотрел Netflix, когда его телефон начал безумно звонить от оповещений сервера. Он подключился удалённо и наблюдал, как файлы компании в реальном времени меняют имена, превращаясь в бессмысленный набор символов. Этот парень схватил ключи от машины и помчался в офис как сумасшедший. Прибыл в 12:20 ночи, полная темнота, прошёл от стола к столу, выдергивая вручную LAN-кабели из 40 компьютеров, его руки дрожали. На каждом экране был текст вымогателя: «Оплатите нам всю вашу ежемесячную прибыль в bitcoin в течение 72 часов». Его босс позвонил и сказал: «Просто заплати, нам нужны эти файлы к понедельнику». Он ответил: «Нет». Компании, которые платят, становятся мишенью снова. Он попытался восстановить данные из резервных копий — но и сервер резервного копирования был заражён. Та же сеть, тот же вымогатель. Парень сказал, что его разум полностью опустел. Но у него оставалась одна последняя карта. Каждую среду по дороге домой он вручную делал резервную копию данных компании на внешний жёсткий диск и хранил его в ящике своего стола — привычку, которую он почти перестал соблюдать, потому что считал это пустой тратой времени. Этот жёсткий диск в ящике спас всю компанию. Он восстановил всё за выходные, и в понедельник утром все отправления были отправлены. Его босс рассмеялся и сказал: «Рад, что ты не отправил тот bitcoin». На следующей неделе на его столе появились ещё два внешних жёстких диска. Скучная привычка, которую никто не хотел выполнять, оказалась единственной, которая действительно сработала.

OpenAI случайно обнаружила уязвимость, которая может скомпрометировать миллионы серверов, хотя даже не искали её. Они пытались предотвратить доступ своих моделей ИИ к интернету во время обучения и создали для них полностью оффлайн-среду. Во время тестирования этой системы на уязвимости они наткнулись на уязвимость в Brotli — одной из самых широко используемых библиотек сжатия в интернете. Эта уязвимость позволяет злоумышленнику запускать собственный код на любой затронутой системе, отправляя вредоносные сжатые данные. Не требуется вход в систему или наличие пользовательского аккаунта — просто отправьте данные, и вы получите доступ. Brotli встроен в Node.js, Bun, Envoy и практически во всё, что обрабатывает сжатый веб-трафик. Уязвимость была технически исправлена в феврале, но в то время никто не осознавал, что это проблема безопасности. Таким образом, патч существовал месяцами, но почти никто его не применил, потому что он выглядел как обычное обновление. Иногда самые пугающие открытия происходят, когда вы даже не ищете их.

Они называют это «Чёрным октябрём», и я не думаю, что люди осознают, насколько это серьёзно. За последние 48 часов произошло более 27 крупных инцидентов кибербезопасности. Не за месяц. Не за неделю. За 48 часов. Любой ОДИН из этих инцидентов в обычных условиях стал бы главной новостью года. PHP: критическая уязвимость в программном обеспечении, на котором работает 80% веба. Уровень опасности 9,2 из 10. Node.js: уязвимость высокой степени опасности, позволяющая злоумышленникам удалённо взять контроль над серверами. Затронуты версии 22, 24 и 26. Java: также скомпрометирована. Три из самых используемых языков программирования в мире поражены одновременно. GitLab: уязвимость с оценкой 10 из 10 во всех версиях начиная с 2014 года. Railway: хостинг-платформа скомпрометирована. Ключи API для OpenAI, Claude, Stripe потенциально раскрыты. Signal: ошибка, которая может оставить ваш микрофон и камеру включёнными после завершения звонка. WordPress: хакеры украли ключи разработчика плагина и установили обратные двери на веб-сайты. LiteLLM: инструмент ИИ, скачиваемый 3,4 миллиона раз в день, был заражён вором паролей. И это даже не половина списка. Тысячи автоматизированных скоплений AI-агентов, по сообщениям, сейчас сканируют и атакуют уязвимые серверы — круглосуточно, без перерыва. Исследователи кибербезопасности говорят, что это может быть начало глобального киберинцидента, который пока никто полностью не понимает. Если вы управляете веб-сайтом, используете облачные сервисы, храните ключи API на хостинг-платформах или используете любое программное обеспечение, построенное на PHP, Node.js или Java — вы потенциально затронуты. Обновите всё. Смените свои ключи API. Измените пароли на критически важных сервисах. Включите 2FA там, где ещё не включили. Это не обычная неделя в интернете. Это что-то другое.

Revolut снова, братан. Утечка данных, в которой были раскрыты имена, адреса, фотографии паспортов и история крипто-транзакций. Несколько недель назад. Мужчину потенциально ограбили с ножом на сумму $800 000 из-за этих утекших данных. На прошлой неделе. Сегодня — сбой сервиса, затронувший миллионы пользователей. «Ваши деньги и данные в безопасности», — говорят они. В этот момент, сколько раз Revolut должен попадать в новости по неправильным причинам, прежде чем люди начнут задавать серьезные вопросы? Ваши данные утекли. Ваш сервис отключился. И все, что вы получаете — «приносим извинения за доставленные неудобства». Ограбление на $800 000 — это не неудобство, братан.