Интернет начал трещать по швам За одну неделю вскрылось столько, сколько раньше набиралось за год. Коротко о главном: • PHP2Shell. Это две дыры в самом PHP, CVSS 9.2. Через них можно захватить сервер без логина, а путь кода тянется ещё с 2012 года. Под ударом WordPress, Drupal, Joomla и Magento. Нашли их независимо Calif, OpenAI и Wiz, и в двух случаях из трёх с помощью ИИ. • GitLab. Уязвимость с CVSS 10 во всех версиях начиная с 2014 года. Это уже вторая «десятка» за девять дней. Рабочий эксплойт исследователь собрал с ИИ за 17 минут. • Node.js. Здесь 10 CVE, и одну из них, RCE в Brotli, нашёл OpenAI Codex Security. • NGINX. Пять CVE за ту же неделю. • LiteLLM. На PyPI почти два часа лежала версия с бэкдором, который ворует облачные ключи, SSH и AI-секреты. Её скачали около 49 тысяч раз. • eMudhra. У восьми промежуточных удостоверяющих центров всплыли ключи со слабой энтропией, и Chrome их срочно заблокировал. Атакуют тоже уже ИИ-агенты: Microsoft описала кампанию через цепочку поставок ConnectWise, которая задела больше 2250 тенантов. Власти США, Великобритании и Японии говорят одно и то же: если не можете обновиться, отключайте. Британия на время сняла 32 госсервиса. Раньше на поиск такой дыры у человека уходили месяцы, а теперь ИИ находит её за вечер. Чинят и утверждают патчи по-прежнему люди, и они не успевают. Это не пик, а только начало. В статье я собрал подробности по каждой уязвимости, хронологию и короткий чек-лист для тех, у кого сайт на PHP. Информация меняется буквально каждую минуту, так что проверьте свои серверы сегодня. 👉 Интернет начал трещать по швам: за неделю вскрылись PHP, GitLab и Node.js — и это только начало