ИИ ищет дыры в curl и OpenSSL: что делать владельцу сайта

Что объявила Anthropic и что я проверил

Новость пришла из канала Machinelearning, я сверил её с первоисточниками: пост на сайте Anthropic от 8 октября 2026 года, расширенный FAQ и репозиторий anthropics/oss-scanner с лицензией Apache-2.0.

Подтверждено. Сервис бесплатный для открытых проектов, первое сканирование идёт после подключения, дальше проверки повторяются, точного расписания Anthropic не называет. Отчёт содержит описание уязвимости, воспроизводящий пример, где возможно определение момента появления ошибки и предложенную правку. Отчёты создают модели, включая Claude Mythos, и до мейнтейнеров они доходят без проверки человеком. Anthropic прямо пишет, что часть из них может оказаться неверной.

Подключиться можно только через pull request в репозиторий сервиса: нужен файл project.yaml, контактный адрес и Dockerfile со сборкой проекта. Заявку подаёт основной мейнтейнер, Anthropic проверяет его вручную. Критерии похожи на OSS-Fuzz: влияние на инфраструктуру и безопасность пользователей, решение по каждому проекту отдельное.

Цифры из поста. За полгода модели нашли более 29 тысяч возможных уязвимостей, около 6 тысяч Anthropic проверила вручную, почти 5 тысяч отчётов отправлены мейнтейнерам. В проверке 97 критических и серьёзных находок в 48 проектах пентестеры признали 85 пригодными для процесса раскрытия, одна оказалась ложной. Пилотные отзывы дали PostgreSQL, OpenSSL, wolfSSL, curl и HotCRP. У wolfSSL из 74 отчётов верными были все, кроме двух, пять стали CVE.

Что известно про curl

Anthropic приводит слова создателя curl Даниэля Стенберга: сканер помог найти несколько проблем, включая одну из худших уязвимостей curl за последние годы. Это есть на странице Anthropic, в блоге самого Стенберга я этой фразы не нашёл.

Зато в его записи от 7 октября есть другое. Версия curl 8.23.0 выйдет 14 октября 2026 года, раньше плана на несколько недель, из-за одного отчёта о серьёзной ошибке. В релиз войдут исправления 22 уязвимостей, одна имеет высокую степень, CVE-2026-92392. Таких с 2021 года у curl было две, последняя CVE-2023-38545. Подробности он обещает открыть утром 14 октября, а раньше предупредить рассылку distros@openwall и платных клиентов поддержки.

Не подтверждено: что именно эту уязвимость нашёл OSS Scanner. Страница Anthropic номер CVE не называет. Стенберг в записи не пишет, как найдена ошибка и участвовал ли ИИ. Не нашёл я и списка исправлений в PostgreSQL и OpenSSL: Anthropic номеров CVE и версий не публикует, кроме того, что пять отчётов wolfSSL получили номера.

Почему это касается вас

Серверы малого бизнеса почти всегда работают на открытом ПО. Сайт ходит в API по HTTPS, а это curl или аналог и OpenSSL. CRM или бот хранит данные в PostgreSQL. Мейнтейнер получает отчёт, чинит, выпускает версию, дистрибутив собирает пакет, и только потом исправление появляется у вас на сервере. Каждое звено занимает время, а вы в цепочке последний.

Мой прогноз, это предположение, а не факт: если сервис работает как описан, число исправлений безопасности в крупных библиотеках в ближайшие месяцы вырастет. У тех, кто ставит обновления «когда вспомнит», пропущенных патчей накопится больше. Про сжатие времени между публикацией уязвимости и атакой я писал в разборе «ИИ находит уязвимости: что делать владельцу сайта». Здесь речь о системных пакетах сервера.

Что это не значит

Найденная ошибка не означает, что вас взломали. Это дефект в коде, и пока нет публичного описания, воспользоваться им заметно сложнее. Отчёты Anthropic закрытые, детали curl тоже до релиза скрыты. После выхода патча риск растёт, потому что описание становится публичным, и именно поэтому окно на установку нужно заранее.

Номер версии тоже обманчив. В Debian и Ubuntu исправления часто переносят в старую версию пакета, не меняя её номер. Команда curl --version может показывать 8.х, которая на бумаге уязвима, хотя дистрибутив уже закрыл дыру. Верить надо трекеру безопасности вашего дистрибутива, а не только номеру.

Ещё два предела. Если у вас виртуальный хостинг или управляемый сервер, патчит провайдер, ваш чек-лист ему. И если приложение лежит в Docker-образе, внутри образа свои копии библиотек: системное обновление их не затронет, образ нужно пересобрать.

Что можно сделать уже сейчас: чек-лист на вечер

1. Инвентаризация, 15 минут. Зайдите на сервер и выпишите версии. На Debian и Ubuntu: curl --version, openssl version, psql --version, а полный список пакетов даёт dpkg -l. На системах с rpm: rpm -q curl openssl. Отдельно запишите, какие приложения работают в Docker. Если сервером занимался подрядчик, попросите у него этот список.

2. Подписка на обновления безопасности. Откройте страницу уведомлений вашего дистрибутива: Ubuntu или трекер Debian. Добавьте страницы OpenSSL и PostgreSQL в закладки или RSS. Для curl подойдёт блог Стенберга.

3. Окно на патчи. Выберите час в неделю с минимальной нагрузкой, например воскресенье вечером. Перед ним снимок диска или свежая копия базы, об этом есть чек-лист безопасности сайта. Потом apt list --upgradable, установка, перезапуск сервисов: процессы продолжают работать со старой библиотекой, пока их не перезапустили. PostgreSQL учтите отдельно: по политике проекта исправления безопасности выходят в минорных версиях не реже раза в три месяца, и для них не нужны выгрузка и загрузка базы, достаточно остановить сервер, обновить и запустить. После окна проверьте заказ на сайте и ответ бота.

4. Проверка после релиза. После 14 октября найдите в трекере дистрибутива CVE-2026-92392 и посмотрите, вышел ли исправленный пакет для вашей версии системы. Если вышел, ставьте в ближайшее окно. Если нет, повторите проверку через несколько дней. Автоматическую установку только обновлений безопасности можно включить пакетом unattended-upgrades, но на сервере с базой настраивайте её осторожно, чтобы перезапуск не пришёлся на рабочие часы.

Если это нужно сделать за вас, это входит в услуги «Кибербезопасность» и DevOps. Если сервер уже вызывает подозрения, начните с материала «Взломали сайт: что делать».

Частые вопросы

Можно ли подать мой проект в OSS Scanner?

Нет, если вы не основной мейнтейнер открытого проекта, который критичен для инфраструктуры.

Нужно ли срочно обновлять сервер из-за этой новости?

Паниковать незачем. Если окна на патчи у вас нет, заведите его сегодня, а в день выхода curl 8.23.0 проверьте пакеты своего дистрибутива.

Откуда мне знать, что ошибка уже используется в атаках?

Из первоисточников этого не узнать: ни Anthropic, ни Стенберг такого не сообщают. Если подозреваете утечку, откройте план на случай утечки данных.

Коротко о главном

OSS Scanner существует, бесплатен для критичных открытых проектов и работает без проверки человеком. Исправлений в curl, OpenSSL и PostgreSQL может стать больше, а добираются они до вас через дистрибутив, поэтому у сервера должны быть список версий и окно на установку.

Хотите, чтобы я сделал инвентаризацию вашего сервера и настроил порядок обновлений без простоя бота и сайта? Напишите мне в Telegram кодовое слово «ОБНОВЛЕНИЯ», подскажу, с чего начать именно в вашем случае.