По данным облачного сервиса PT AF Cloud, в третьем квартале 2026 года общий поток событий безопасности вырос на 12%. Однако в отдельных категориях динамика оказалась кратно выше: число событий с ИИ-маркерами увеличилось на 65%, а активность, связанная с React/Next.js, — на 104%. Об этом говорится в отчете о веб-угрозах за III квартал 2026 года.
ИИ-клиенты становятся заметнее в событиях безопасности
В III квартале число событий с явными ИИ-маркерами выросло на 65% по сравнению со II кварталом. Август стал пиковым месяцем: после июльского минимума показатель вырос в 3,8 раза. В сентябре он снизился, но оставался почти втрое выше июльского уровня.
На динамику повлияли публичные релизы моделей: Gemini 3.5 Flash (май), GPT-5.6 Sol (июнь) и GPT-6 Astra (сентябрь). Августовский пик произошёл до выхода Astra. Возможная причина июльского спада — злоумышленникам требуется время на освоение новых моделей. Сентябрьский спад, по мнению аналитиков, закономерен: первая волна экспериментов схлынула.
Среди явно автоматизированных событий доля ИИ-маркеров увеличилась с 5,6% до 6,8%. В выборку включены ИИ-клиенты, боты, инструменты ИБ и мониторинга.
В III квартале 55% событий с ИИ-маркерами относились к семейству OpenAI (ChatGPT, Codex), ещё 23% — к Meta AI. Доли Anthropic (Claude), Exa, Grok (xAI) и Perplexity составили 8,6%, 5,7%, 2,9% и 2,4% соответственно.
С ИИ-маркерами приходят признаки эксплуатации
Внутри потока с ИИ-маркерами доля событий по правилам, связанным с эксплуатацией, выросла с 1,1% во II квартале до 5,6% в III (примерно в 5 раз). Чаще всего фиксировались SQL-инъекции, попытки обхода каталогов и командные инъекции — 59%, 24% и 10% соответственно.
Структура событий также изменилась: если во II квартале чаще встречались признаки раскрытия данных, то в III квартале наибольшая доля пришлась на правила обнаружения автоматизированных обращений. Доля браузероподобных заголовков (Chrome, Safari) среди всех событий безопасности выросла с 38,8% до 51,3%.
React2Shell напоминает о себе спустя месяцы
Команда React раскрыла 3 декабря 2025 года критически опасную уязвимость удаленного выполнения кода в React Server Components — CVE-2025-55182 с максимальной оценкой 10 по шкале CVSS. PT AF Cloud фиксировал попытки эксплуатации с момента публичного раскрытия.
Число событий, связанных с React/Next.js, выросло в 3,2 раза в августе и в 6,3 раза в сентябре. Публичный PoC упростил автоматизацию проверок, поэтому сканеры продолжали обращаться к распространённому стеку в течение нескольких месяцев.
В III квартале число событий в React/Next.js, связанных с попытками добиться удаленного выполнения кода, отказа в обслуживании и раскрытия исходного кода, вдвое превысило показатель II квартала. Активность по другим уязвимостям достигала пика в разные месяцы: Apache HTTP Server — в мае, PHP CGI — в сентябре, Spring4Shell — в апреле.
Отдельная волна вокруг Fortinet
В III квартале зафиксирован резкий рост числа событий, связанных с уязвимостями Fortinet. Число событий в августе было в 47 раз выше июльского, а в сентябре — в 65 раз. Такая динамика может указывать на массовое автоматизированное сканирование: злоумышленники проверяют доступные ресурсы на наличие известных уязвимостей, зачастую без предварительного определения используемых технологий. Поэтому подобные запросы могут фиксироваться даже на ресурсах, которые не используют решения Fortinet.
Отрасли видят разные изменения
В III квартале число событий выросло в ИТ-компаниях (+64%), медицине (+55%), финансах (+38%) и ретейле (+33%). В СМИ показатель почти не изменился (+1%), в промышленности (-58%) и на транспорте (-70%) снизился. Единого отраслевого сценария нет — динамика зависит от состава защищаемых ресурсов и того, какие правила срабатывают на них.
У каждой отрасли свой профиль срабатываний. В ретейле чаще других срабатывало правило о данных сессии в URL (23%); в финансах — об обращении к служебным файлам (25%); в ИТ и промышленности — об ограничении частоты запросов (34% и 31% соответственно); в СМИ — о блокировке по IP-адресу (32%).
Что проверить у себя
Регулярное обновление инфраструктуры помогает устранять уязвимости, но не защищает от всех видов автоматизированной активности. Даже к стабильно работающим приложениям непрерывно идут автоматизированные запросы, создающие избыточную нагрузку и риски для бизнеса.
Специалисты рекомендуют проанализировать журналы веб-сервера или балансировщика, обращая внимание на массовые обращения к несуществующим страницам, попытки доступа к служебным файлам, аномальную частоту запросов и повторяющиеся ошибки авторизации. Также важно разделять полезную и нежелательную автоматизацию, определяя, каким системам нужен доступ, а для остальных предусматривая ограничения. Особое внимание следует уделить чувствительным операциям: авторизации, регистрации, поиску и обращениям к API.