ИИ находит уязвимости быстрее: как часто теперь обновлять сайт

·2 ноября 2026 г.· 6 мин чтения

Проверьте, не задело ли ваш сайтПроверить свой сайт

За последнюю неделю октября сошлись три события. 27 октября Anthropic рассказала, как её модель нашла уязвимости в ядре Linux, Chrome, Safari и Android. 28 октября WordPress выпустил релиз с 22 исправлениями, два из которых тоже нашла Anthropic. 30 октября «Лаборатория Касперского» сообщила, что число уязвимостей за первое полугодие выросло на 59%. Вывод для владельца сайта простой: обновления больше нельзя копить месяцами. Мы советуем перейти на еженедельный цикл.

Что показала Anthropic

В публикации Anthropic перечислены находки модели Claude. По Chrome к выходу версии 156 назначены и исправлены 62 CVE, все критического или высокого уровня. В Safari найдена цепочка обхода политики одного источника, Apple её закрыла. В Windows — удалённый отказ в обслуживании в реализации QUIC (CVE-2026-33096). В Linux — уязвимость в TCP с выполнением кода от root, о ней мы написали отдельную новость.

Компания придерживается стандартного порядка раскрытия: у производителя 90 дней на исправление и ещё 45 дней до публикации подробностей. То есть атакующие видят детали не сразу, но окно между выходом патча и появлением рабочих атак сокращается.

Цифры, которые это подтверждают

Источник	Что сообщили
WordPress 7.1.4, 28 октября	22 уязвимости в 17 бюллетенях; прошлый релиз 7.1.3 закрывал семь
«Лаборатория Касперского», 30 октября	за I полугодие 2026 года инцидентов в российских компаниях больше на 54%, уязвимостей — на 59%, критических — почти на 50%
CNews, 30 октября	по подсчёту издания, у Linux 7.2 около 1,5 тыс. известных уязвимостей против примерно 1 тыс. у 7.0; рост издание связывает с ИИ-анализаторами кода
Next.js, октябрь	внеочередной релиз 14 октября с двумя критическими RCE и плановый релиз 3 ноября ещё на семь проблем

Дмитрий Галов из «Лаборатории Касперского» объяснил рост тем, что злоумышленники быстро встраивают свежие уязвимости и готовые эксплойты в свои скрипты, а сканирование автоматизировано. Цифры приводит ТАСС через Рамблер.

Что это значит для сайта

ИИ одинаково помогает и защитникам, и атакующим. Защитникам — находить ошибки до релиза. Атакующим — быстрее понимать, что изменилось в патче, и проверять тысячи сайтов на старые версии. Сайт, который обновляют раз в квартал, проводит значительную часть времени с известными дырами.

Ядро CMS и фреймворка: смотреть обновления каждую неделю, критические ставить в течение суток.
Плагины и модули: включить уведомления о выпусках и раз в неделю обновлять на копии сайта.
Сервер: ядро, PHP, Node.js, nginx — по бюллетеням дистрибутива, с перезагрузкой по графику.
Учётные записи: раз в месяц удалять лишние, потому что многие уязвимости требуют хотя бы роли автора.

Как перестроить процесс

Составьте список всего, что надо обновлять: CMS, плагины, фреймворк, язык, сервер, библиотеки.
Подпишитесь на бюллетени каждого компонента: блоги вендоров, страницы CVE дистрибутива.
Заведите тестовую копию сайта. Без неё каждое обновление становится риском, и его откладывают.
Назначьте день недели для плановых обновлений и правило «критическое — в течение 24 часов».
Проверяйте после обновления ключевые сценарии: вход, оплату, заявки.
Держите свежие резервные копии и проверяйте, что из них можно восстановиться.

Если вести такой график некому, его можно передать на поддержку сайта: обновления на копии, проверка и откат входят в работу. Посчитать, во что обойдётся простой после взлома, поможет калькулятор ущерба от инцидента.

Вопросы и ответы

Значит ли это, что ИИ взламывает сайты сам?

Нет. В публикации Anthropic речь об исследовании: найденные ошибки передают производителям и закрывают до раскрытия деталей. Но злоумышленники тоже пользуются ИИ, поэтому время от патча до атак сокращается.

Хватит ли включить автообновления?

Для ядра WordPress и небольших сайтов это хороший минимум. Но автообновления плагинов и серверных пакетов без проверки иногда ломают сайт, поэтому нужны копия, резервная копия и человек, который проверит результат.

Как часто обновлять небольшой сайт?

Мы советуем раз в неделю проверять обновления и ставить их на копии, а критические исправления — в течение суток. Раз в квартал — слишком редко при нынешнем темпе.

Нужна помощь с проектом?

Обсудим задачу и предложим решение — от сайта до SaaS и защиты.

Связаться