„Черният октомври“ е името, което интернет даде на поредица от сериозни пробиви и дупки в сигурността през октомври 2026, повечето открити или използвани с помощта на изкуствен интелект. За малкия бизнес това не е повод за паника, а за една подредена седмица: да знаеш къде живеят сайтът и акаунтите ти, кой има ключ от тях и кое е отключено, без да има нужда.
Тези дни Джордж Бест написа дълъг пост със заглавие „Началото на края?“, в който подреди всичко случило се в последните месеци и призна, че за пръв път не вижда как излизаме невредими от другата страна. Прочетох го два пъти. Фактите в него в голямата си част са верни, проверих ги. Само че аз от 25 години работя с операции, а операциите имат едно полезно свойство: те не се интересуват дали е краят на света, интересуват се кое е следващото действие. Затова тази статия не е за страха, а точно за действието.
Накратко:
През октомври 2026 излязоха критични дупки в PHP, езика, на който работят голяма част от сайтовете, и правителства в Европа свалиха сайтовете си, за да ги закърпят.
Изкуственият интелект вече намира и използва уязвимости по-бързо от хората, а безплатни модели почти догониха най-силните затворени.
Атаките все по-често удрят банки и финансови системи, а големите американски банки спряха външните AI агенти да местят пари от сметките на клиентите.
Малкият бизнес почти никога не е главната мишена, но е лесна странична жертва: през забравен сайт, стара парола или прекалено щедър достъп.
Седем неща за една седмица покриват по-голямата част от риска. Списъкът е по-долу.
Какво точно се случи през октомври 2026?
Най-шумното беше PHP2Shell. На 21 октомври бяха обявени две критични уязвимости в PHP (CVE-2026-109618 и CVE-2026-109619), с оценка 9,2 от 10, които позволяват отдалечено изпълнение на код. На човешки език това означава, че някой отвън може да накара сървъра ти да прави каквото той иска, без да знае паролата. Дупките са открити от няколко изследователски екипа с помощта на AI, а Palo Alto Networks преброиха над 22 милиона потенциално изложени сайтове.
Германия, Франция, Нидерландия, Белгия, Финландия, Чехия и още поне няколко държави свалиха превантивно държавни сайтове, докато ги закърпят. Cloudflare отчетоха хиляди опити за атака още преди дупките да станат публични, а на следващия ден вече милиони.
Около това се натрупаха и други неща. Браузърите на Mozilla, Google и Apple спряха да вярват на сертификати на индийската eMudhra, една от фирмите, които „гарантират“, че сайтът е истински, защото ключовете им се оказаха толкова слаби, че можеха да се разбият почти веднага. В GitLab беше закърпена дупка с максималната оценка 10 от 10.
Защо изкуственият интелект промени играта?
През април Anthropic показаха модела Claude Mythos и не го пуснаха свободно, защото е твърде добър в намирането на уязвимости. Mozilla го пуснаха върху Firefox и закърпиха 271 дупки, които дотогава никой не беше намерил. Това е добрата страна: защитниците получиха инструмент, който вижда повече от тях.
Лошата страна дойде в края на септември. Anthropic публикуваха тест, в който безплатният китайски модел GLM-5.3 успява да напише работещ експлойт в 50 от 410 опита, срещу 56 за Mythos. Разликата е, че GLM-5.3 може да го свали и ползва всеки, а за дни се появиха и версии с махнати защити. Американският институт NIST го оценява на около четири месеца зад най-новите модели.
Тоест това, което допреди година изискваше екип от опитни хакери, днес изисква един човек, добър компютър и търпение.
Защо банките са на прицел?
Защото там са парите, а AI направи атаките по-евтини. Ето какво е потвърдено от изследователи по сигурността:
Южна Корея: в края на септември са пробити поне седем финансови институции, сред които Shinhan, KB Kookmin и Hana Bank, и по данни на медиите са изтекли личните данни на около 68 000 души. CrowdStrike свързват атаките с китайски AI инструмент за пробиване на системи. В три от големите банки пробивът е стоял незабелязан между 15 и 67 часа.
Латинска Америка: фирмата Straiker откри система от AI агенти, изградени върху Claude, Grok и Kimi, насочена срещу над 400 банки и платежни компании. Колко от тях реално са пробити, не е ясно, но самата автоматизация е новото.
САЩ: Citi, Bank of America и JPMorgan ограничиха външните AI агенти да влизат в клиентски сметки и да местят пари. Причината е проста: банката не може да различи агент, който изпълнява волята ти, от агент, който е излязъл извън контрол.
Засяга ли това малкия бизнес?
Засяга го, но не по начина, по който звучи в новините. Никой хакер няма да седне да пише специален експлойт за сайта на един психолог от Пловдив. Атаките днес са като рибари с огромни мрежи, хвърляни върху целия интернет и вадят каквото се закачи. Закачат се неподдържаните сайтове, забравените акаунти, паролите, които си ползвала на пет места, и достъпите, които си дала на някого преди три сезона.
Тази седмица минах през своите неща и намерих точно такъв пример: стар сайт в WordPress.com с името на бизнеса ми, който не бях отваряла от години. Изтрих го. Сайтът на семейния бизнес в Wix се оказа спрян отдавна. Нищо от това не беше пробито, но и двете бяха врати, които никой не наглежда.
7 неща, които да подредиш тази седмица
Разбери в какво живее сайтът ти. Ако е в Squarespace, Carrd, Wix, Shopify или WordPress.com, ти живееш под наем в сграда с поддръжка: сървърите и PHP са тяхна грижа. Ако е WordPress, WooCommerce или OpenCart на собствен хостинг, ти си собственик на къща и покривът е твой. Пиши днес на човека, който ти поддържа сайта, и го питай на коя версия на PHP сте и кога ще я обновите.
Потърси забравеното. Отвори браузъра в режим инкогнито и потърси в Google името си и името на бизнеса в кавички. Стари сайтове, страници от предишно начинание, Linktree с мъртви линкове, профили, които не водиш. За всяко реши дали обновяваш, скриваш или изтриваш.
Обновявай веднага, не „когато ми остане време“. Телефон, браузър, приложения, плъгини. Повечето атаки ползват дупки, за които кръпка вече има, просто никой не я е пуснал.
Двустъпкова защита навсякъде, с приложение, а не със SMS. И различна парола за всеки сайт, а най-лесният начин да го постигнеш е мениджър на пароли. Аз ползвам Bitwarden и вече не помня нито една от паролите си, което е точно целта.
Прибери ключовете. Направи списък кой има достъп до сайта, хостинга, имейла, социалните мрежи и платежната система. Бивши помощнички, агенцията от миналата година, „приятелят, който ми оправи нещо“. Махни излишните, а на останалите дай само толкова, колкото им трябва.
Не давай на AI агенти достъп до парите. Ако ползваш AI асистент с достъп до пощата, календара или файловете си, нека той само чете и предлага, а натискането на „Изпрати“ и „Плати“ да остане при теб. Щом големите банки не им вярват да местят пари, няма причина ти да им вярваш повече.
Сложи си аларма на картата. Известие от банката за всяко плащане, отделна или виртуална карта с малък лимит за онлайн покупки и абонаменти и навик да я блокираш веднага, щом видиш нещо странно. И не споделяш никакви кодове по телефона, дори да ти звъни „банката“. След всяко голямо изтичане на данни измамите скачат.
Нито една от тези точки не изисква да си техничар. Изискват един следобед, чаша кафе и решение, че е по-добре да го подредиш сега, отколкото да го оправяш после.
Често задавани въпроси
Какво е „Черният октомври“?
Така в интернет нарекоха октомври 2026, когато за няколко дни излязоха критични дупки в PHP (PHP2Shell), в GitLab и в сертификатите на eMudhra, на фона на атаки срещу банки с помощта на AI. Не е официален термин, а прякор за поредица от събития.
Засяга ли ме PHP2Shell, ако сайтът ми е в Squarespace или Wix?
Не пряко. При затворените платформи сървърите и PHP се поддържат от доставчика и ти няма какво да обновяваш. Засегнати са сайтовете на собствен хостинг, най-често WordPress, WooCommerce и OpenCart, както и забравени стари сайтове на хостинга.
Опасно ли е да ползвам AI асистенти за бизнеса си?
Не, ако знаеш какъв достъп им даваш. AI асистент, който чете и предлага, е полезен. AI агент, който може сам да изпраща имейли от твое име или да плаща, е риск, защото ако някой го подмами, той ще изпълни чуждата воля със същото старание.
Кое е първото нещо, което да направя днес?
Включи двустъпкова защита на имейла си. Имейлът е ключът към всички останали акаунти, защото през него се сменят паролите.
Трябва ли ми специалист по киберсигурност?
За малък бизнес обикновено не. Трябва ти подреден списък кое къде е, кой има достъп и кой отговаря за обновяванията. Специалист търсиш, ако имаш онлайн магазин на собствен хостинг или пазиш чувствителни данни на клиенти.
Накрая
Джордж завършва поста си с думите, че ще продължи да си прави това, което прави, и аз съм с него. Само бих добавила, че докато си го правиш, си струва да знаеш къде са ти ключовете.
Ако четеш списъка по-горе и не можеш да отговориш на половината въпроси, точно за това е „Един час с мен“: минаваме заедно през сайта, достъпите и инструментите ти и излизаш с писмен план кое да подредиш първо.
Източници
PHP2Shell, CVE-2026-109618/109619, CVSS 9,2, 22,6 млн. изложени: Unit 42 / Palo Alto Networks: https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/
Държавни сайтове офлайн, Cloudflare, открито с AI (Calif, Wiz, OpenAI): https://commandelevenintel.substack.com/p/black-october-php2shell
Mythos и 271 дупки във Firefox: https://www.helpnetsecurity.com/2026/04/22/claude-mythos-mozilla-vulnerabilities-scanning/
GLM-5.3: 50/410 срещу 56/410, NIST ~4 месеца: https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities
Корейските банки (7+, 68 000, 15–67 часа, ARTEX): https://www.fdd.org/analysis/ai-assisted-bank-hacks-expose-a-blind-spot-in-south-koreas-cyber-defenses/
CyberCartel, 400+ цели, Straiker: https://cybersecuritynews.com/hackers-used-claude-and-grok/
Citi, Bank of America, JPMorgan и AI агентите: https://thepaypers.com/fintech/news/citi-and-bank-of-america-restrict-ai-agents-from-accessing-accounts
