Альтман: «все баги уже не залатать». Что это значит для сайта компании

Виталий Левицкий·25 октября 2026 г.· 6 мин чтения

Сколько будет стоить ваш проект?Рассчитать стоимость

23 октября глава OpenAI Сэм Альтман, выступая перед студентами Стэнфордской школы бизнеса, сказал: «Я больше не думаю, что мы сможем просто закрыть все уязвимости». По его словам, причина и в развитии ИИ-моделей, которые находят ошибки всё быстрее, и в медленной реакции тех, кого атакуют. В тот же день глава Cloudflare Мэтью Принс в интервью The Guardian предупредил, что ближайшие пару лет будут крайне тяжёлыми: каждую неделю будет казаться, что «небо падает». 24 октября российские издания подхватили формулировку «чёрный октябрь».

Мы уже писали о том, что окно до атаки сократилось до часов. Новое здесь — то, что об этом открыто говорят люди, которые сами делают ИИ и защищают значительную часть интернета. Разберёмся, что это значит для компании с сайтом, CRM и одним сервером.

Что стоит за заявлениями

PHP2Shell. Критические уязвимости PHP, исправленные 21 октября, нашли исследователи Wiz, Calif и OpenAI с помощью нейросетей. По словам Принса, попытки эксплуатации Cloudflare видела ещё примерно за 10 часов до официального объявления, через 45 минут после него их были десятки тысяч, через два часа — сотни тысяч, позже — миллионы. Подробности — в нашем материале о PHP2Shell.
Patch the Planet. 21 октября OpenAI объявила программу координации поиска и исправления уязвимостей в старом ПО: сайт patchtheplanet.org для публикации раскрытий и патчей, навык для Codex, проверяющий сайты на следы PHP2Shell, и $1 млрд на субсидированный доступ к платформе аудита Daybreak для организаций, защищающих важные сервисы. Условия участия пока не описаны.
Рецепт Альтмана — «полностью сменить модель защиты», построив новый «щит» на той же технологии ИИ. Кто и за какие деньги будет его строить, он не уточнил.

Наш взгляд: что меняется для малого бизнеса

Слова «всё не залатать» легко прочитать как «защищаться бессмысленно». Это неверный вывод. Меняется не цель, а способ. Раньше достаточно было раз в месяц обновлять CMS и плагины. Теперь между публикацией уязвимости и массовым сканированием проходят часы, а патч для вашей версии может выйти через дни или недели. Значит, надо исходить из того, что какое-то время сайт будет работать с известной, но не закрытой дырой, — и заранее сделать так, чтобы это не превратилось в катастрофу.

Раньше	Теперь
Обновления по графику раз в месяц	Критические патчи — в течение суток, остальное по графику
Ставим всё, что может пригодиться	Удаляем всё, без чего сайт работает: плагины, модули, тестовые копии
Админка открыта всему интернету	Вход в админку и панели — только с 2FA, по возможности по VPN или белому списку IP
Резервная копия на том же сервере	Копии у другого провайдера, восстановление проверено на практике
О взломе узнаём от клиентов	Мониторинг изменений файлов, новых пользователей и всплесков ошибок
Подрядчик реагирует «когда сможет»	В договоре записан срок реакции на критическую уязвимость

Чек-лист на ближайшую неделю

Составьте список: на чём работает сайт (CMS, версия PHP или Node.js, плагины), где сервер, у кого доступы. Без этого не понять, касается ли вас очередная новость.
Удалите неиспользуемые плагины, темы, старые копии сайта и забытые поддомены — это самый быстрый способ уменьшить поверхность атаки.
Включите автообновление исправлений безопасности там, где это не ломает сайт, и подпишитесь на бюллетени своей CMS и хостинга.
Подключите WAF — у хостинга, CDN или на сервере. Он не заменяет патч, но часто блокирует массовые атаки на свежие уязвимости в первые часы.
Проверьте, что резервные копии хранятся отдельно и из них реально можно восстановиться — проведите пробное восстановление на тестовом сервере.
Запишите, кому звонить при взломе и что делать в первый час: отключить, сохранить журналы, сменить пароли, сообщить клиентам. Для срочных случаев есть наша экстренная помощь при взломе.

Что дальше

Скорее всего, поток уязвимостей, найденных с помощью ИИ, будет расти: о том же говорят и Альтман, и Принс, а исследователи уже присылают такие находки пачками — как в истории с утёкшими отчётами об уязвимостях ядра Linux. Выигрывать будут не те, кто успевает закрыть всё, а те, у кого меньше лишнего кода, есть план на случай инцидента и проверенные резервные копии. Если на это нет времени у своей команды, имеет смысл заказать аудит и сопровождение безопасности.

Источники

Вопросы и ответы

Если все уязвимости не закрыть, зачем вообще обновляться?

Обновления по-прежнему закрывают большую часть известных дыр, и массовые атаки идут именно по ним. Меняется другое: нужно ставить критические патчи быстрее и дополнительно уменьшать ущерб от того, что ещё не закрыто, — через WAF, минимум кода и резервные копии.

Можно ли малому бизнесу попасть в программу OpenAI Patch the Planet?

OpenAI говорит о субсидиях для организаций, защищающих важные сервисы. Критерии и порядок подачи заявок пока не опубликованы, поэтому рассчитывать на программу при планировании защиты не стоит.

Что такое «чёрный октябрь»?

Так СМИ назвали октябрь 2026 года, когда за несколько недель вышли критические уязвимости в PHP, GitLab, Node.js, произошёл отзыв сертификатов eMudhra и утечки у облачных платформ. Это журналистский термин, а не официальное название.

Нужна помощь с проектом?

Обсудим задачу и предложим решение — от сайта до SaaS и защиты.

Связаться