на цьому тижні морозильна камера в супермаркеті в Естонії досягла 50°C, і це не був поломка — це був кібератака. Шість країн постраждали за ніч. У Ірландії зняли всю охолоджену їжу, м’ясник у Бельгії викинув сотні кілограмів м’яса, а деякі з цих підприємств у 2026 році ще використовували стандартні паролі. Цього люди не розуміють щодо кібербезпеки: це вже не про ваш криптовалютний гаманець чи ваші паролі. Хтось, що сидить в кімнаті де-небудь, може зіпсувати ціле продовольче забезпечення країни за допомогою ноутбука. Наступна кібератака не опорожнить ваш гаманець — вона може опорожнити ваш холодильник.

Хтось може розблокувати ваш телефон за допомогою надрукованого фото вашого обличчя, і більшість з вас навіть не знають про це. Більшість телефонів на Android використовують звичайну 2D-камеру для розблокування обличчям — без інфрачервоного світла, без вимірювання глибини, лише порівняння плоского зображення. Дослідники вже роками доводять, що просте фото достатнє, щоб обійти цю систему. Це та «безпека», що захищає ваші банківські додатки, ваші криптовалютні гаманці, ваші seed-фрази, ваше ціле життя. І кожного разу, коли ви її використовуєте, ваша фронтальна камера обробляє кадр вашого обличчя та зберігає його локально у системних папках, які ви ніколи не відкривали. Не зашифровано, не захищено — просто лежить там. Якщо ви використовуєте розблокування обличчям на пристрої, який не є флагманом з правильною функцією вимірювання глибини — сьогодні ж переключіться на відбиток пальця або сильний PIN-код. Ваше обличчя — це єдиний пароль, який ви ніколи не зможете змінити.

Додаток, який ви завантажили, щоб захистити свої акаунти, міг стати причиною вашого хакування. На Android Microsoft Authenticator мав вразливість, яка дозволяла шкідливим додаткам викрадати токени доступу до вашого робочого акаунту без будь-яких дозволів. Це додаток, що знаходиться на вашому телефоні і робить все, що захоче. Ця проблема була в компоненті брокера — тій частині, яка керує автентифікацією між додатками. Вона не перевіряла належним чином, тому будь-який випадковий додаток міг увійти і забрати ваші токени, наче вони належали йому. Microsoft вже виправив це (CVE-2026-80097, CVSS 8.6 — висока серйозність), але якщо ви не оновлювали свій додаток Authenticator останнім часом, ви все ще можете бути під загрозою. Це та частина, що мене лякає. Люди встановлюють додатки для автентифікації, бо їм кажуть, що це безпечний варіант — і це так. Але коли сам інструмент безпеки має дірку, більшість людей навіть не подумають перевірити це. Оновлюйте свої додатки. Не лише ОС телефону, а й додатки. Особливо ті, яким ви найбільше довіряєте. Бо саме їх ви перестаєте контролювати.

Я зробив пост про те, що відбувалося в інтернеті кілька днів тому, і він набрав 2,3 мільйона переглядів. З тих пір стало гірше. Ця вразливість Brotli, яку випадково знайшла OpenAI? Вона еволюціонувала. Тепер її називають HTTP2Shell, і вона впливає на кожен великий браузер, кожну операційну систему, додатки, такі як Discord, Slack, VS Code, 1Password. Виправлення ще не випущені для всього. Генеральний директор Cloudflare сказав: «Кожного тижня буде відчуватися, ніби небо падає». Polymarket буквально відкрив аукціон на те, чи будуть розкриті більше серйозних вразливостей цього місяця. Хакери використали моделі ШІ для автоматизації атак на 400+ банків по всій Латинській Америці одночасно. Без перерв, цілодобово. У X був баг, через який можна було увійти до акаунта незнайомця, просто ввівши свій номер телефону. Апаратний гаманець Keystone був зламаний через їхній Shopify API — розкрито імена клієнтів та домашні адреси. Японська хмарна компанія втратила 27 000 серверів, і Японія вперше в історії активувала кіберзахист військового рівня. Оновіть свій браузер. Оновіть свої додатки. Змініть свої паролі. Увімкніть 2FA скрізь. Октябрь ще не закінчився.

Розробник просто поклав $2000 у bitcoin на сервер із вразливістю PHP і викликав весь інтернет викрасти ці гроші. Через 17 годин гроші все ще там. Люди зламують сервер, але ніхто не може реально використати експлойт. Пам’ятаєте, коли я писав про Маркуса Хатчінса, який розголошив усі фейкові AI-згенеровані експлойти на GitHub? Ось це й є доказ. Вразливість реальна. Але насправді використати її — зовсім інша справа. $2000 сидять на зламаному сервері, а весь інтернет не може до них дістатися.

Одна помилка поставила під загрозу кожен браузер, кожну операційну систему тай майже кожний додаток, які ви використовуєте. Уразливість Brotli, яку випадково виявила OpenAI під час червоного тестування своїх систем, зараз еволюціонувала з «node2shell» у те, що дослідники називають HTTP2Shell, і радіус ураження надзвичайно великий. Ми говоримо не про одну бібліотеку. Ми говоримо про кожен основний браузер: Chrome, Edge, Firefox. Кожну операційну систему, включаючи iOS. Електронні додатки, такі як Discord, Slack, VS Code, 1Password, Notion. Інструменти для зображень, читачі PDF, архівні програми, десктопні додатки з ШІ, навіть curl. За суттю, якщо це має справу з інтернетом або обробляє стиснені дані — ймовірно, воно уразливе. Оригінальний CVE-2026-111497 уже був поганим — виконання віддаленого коду без автентифікації через шкідливі стиснені дані. Але сфера уразливості розширилася майже на все, що ви використовуєте щодня. Виправлення ще не доступні для всіх уразливих сервісів. Оновіть все зараз. Спочатку браузери, потім десктопні додатки, потім інструменти розробки. Якщо щось пропонує оновлення сьогодні — не питайте питань, просто встановіть його. Інтернет працює на тріснутій основі, і тріщини стало набагато більшими.

Цей IT-спеціаліст просто врятував цілу компанію від атаки шкідливого ПЗ-вимагача о півночі, і ця історія дика. Брат був буквально дивився Netflix, коли його телефон почав безперервно сповіщати про проблеми з сервером. Він під’єднався віддалено і спостерігав, як файли компанії по черзі змінюють імена в реальному часі — все перетворювалося на незрозумілий набір символів. Цей чоловік схопив ключі від автомобіля і наїхав до офісу, наче нападався. Прибув о 12:20, повністю в темряві, і вручну витягував LAN-кабелі з 40 комп’ютерів, трясясь від напруги. Повідомлення про вимогу на кожному екрані: сплатіть нам весь щомісячний прибуток у bitcoin протягом 72 годин. Його бос зателефонував і сказав: «Просто сплати їм — нам потрібні ці файли до понеділка». Він відмовився. Компанії, які сплачують, стають мішенями знову. Він спробував відновити дані з резервних копій — але й сервер резервних копій був заражений. Та ж мережа, той самий шкідливий код. Брат каже, що його розум повністю випустив. Але у нього залишився останній козир. Кожну середу, щойно виходячи з роботи, він вручну робив резервну копію даних компанії на зовнішній жорсткий диск і зберігав його у своєму ящику столу. Звичка, яку майже припинив, бо вважав її марною витратою часу. Цей жорсткий диск у ящику столу врятував всю компанію. Вони відновили все протягом вихідних — у понеділок ранком усі вантажі були відправлені. Його бос засміявся і сказав: «Дякую, що не надсилав той bitcoin». На наступному тижні на його столі з’явилися ще два зовнішніх жорстких диски. Ця нудна звичка, яку ніхто не хотів робити, була єдиною, що справді спрацювала.

OpenAI випадково виявили баг, який може скомпрометувати мільйони серверів, хоча вони навіть не шукали його. Вони намагалися запобігти доступу своїх моделей ШІ до інтернету під час навчання, створивши цілий офлайн-світ для них. Під час червоного тестування цієї системи вони натрапили на вразливість у Brotli — одній з найбільш поширених бібліотек стиснення в інтернеті. Ця вразливість дозволяє зловмиснику запускати власний код на будь-якій вразливій системі, надсилаючи шкідливі стиснені дані. Не потрібно жодного входу, не потрібен жодний акаунт. Просто надішліть їх — і ви в системі. Brotli вбудований у Node.js, Bun, Envoy і майже все, що обробляє стиснений веб-трафік. Технічно баг було виправлено у лютому, але тоді ніхто не розумів, що це проблема безпеки. Тому протягом місяців патч існував, але майже ніхто його не застосував, бо виглядав як звичайне оновлення. Іноді найбільш лякаючі відкриття відбуваються, коли ти навіть не шукаєш.

Вони називають це «Чорним жовтнем», і я не думаю, що люди розуміють, наскільки це серйозно. За останні 48 годин відбулося понад 27 великих інцидентів кібербезпеки. Не за місяць. Не за тиждень. За 48 годин. Будь-який ОДИН з цих інцидентів зазвичай став би найбільшою новиною року. PHP: критична вразливість у програмному забезпеченні, яке працює на 80% веб-сайтів. рівень небезпеки 9,2 з 10. Node.js: вразливість високого рівня небезпеки, що дозволяє атакувати сервери здалеку. Постраждали версії 22, 24 та 26. Java: також скомпрометовано. Три з найбільш використовуваних мов програмування на землі поражені одночасно. GitLab: вразливість з рівнем небезпеки 10 з 10 у кожній версії з 2014 року. Railway: хостинг-платформа скомпрометована. Ключі API для OpenAI, Claude, Stripe можуть бути викрадені. Signal: баг, який може залишити ваш мікрофон та камеру увімкненими після завершення дзвінка. WordPress: хакери вкрали ключі розробника плагіна та встановили бекдори на веб-сайти. LiteLLM: інструмент ШІ, завантажений 3,4 мільйони разів на добу, був заражений зловмисним ПЗ для крадіжки паролів. І це навіть не половина списку. Тисячі автономних агентів ШІ, як повідомляється, зараз сканують та атакують вразливі сервери. Автоматизовано. Круглодобово. Дослідники кібербезпеки стверджують, що це може бути початкова стадія глобального кіберінциденту, який ще ніхто повністю не розуміє. Якщо ви керуєте веб-сайтом, використовуєте хмарні сервіси, зберігаєте ключі API на хостинг-платформах або використовуєте будь-яке ПЗ, побудоване на PHP, Node.js або Java — ви потенційно постраждали. Оновіть все. Змініть свої ключі API. Змініть паролі на критичних сервісах. Увімкніть 2FA скрізь, де ще не увімкнено. Це не звичайний тиждень в інтернеті. Це щось інше.

Revolut знову, брате. Утік дані, що включають імена, адреси, фотографії паспортів та історію криптовалютних транзакцій. Кілька тижнів тому. Хлопець, ймовірно, був ограблений з ножем на $800 000 через ці витікнені дані. Тиждень тому. А сьогодні — перерва в роботі сервісу, що впливає на мільйони користувачів. «Ваші гроші та дані безпечні», — кажуть вони. На цьому етапі, скільки разів Revolut має потрапляти у новини з-за неправильних причин, перш ніж люди почнуть ставити серйозні питання? Ваші дані витікають. Ваш сервіс вимикається. І все, що ви отримуєте — «вибачте за незручності». Ограблення на $800 000 — це не незручність, брате.