forum.opennet.ru - "Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления" (23)

"Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления"	+/–
Сообщение от opennews (??), 21-Окт-26, 18:16
Опубликованы корректирующие выпуски PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для уже не поддерживаемых веток PHP 7.4, PHP 8.0 и PHP 8.1, в которых исправлены две критические уязвимости:... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66520
Ответить \| Правка \| Cообщить модератору

Оглавление

Да, это грустно особенно грустно тем у кого nextcloud в докерах которые тоже те, Аноним (1), 18:16 , 21-Окт-26, (1) +2

И как это касается некстклаудщиков У вас регистрация и загрузка файлов открыта , Ivan_83 (ok), 18:35 , 21-Окт-26, (7)

уязвимость в ядре php, т е ей подвержен даже echo helloworld , МИСАКА (?), 18:46 , 21-Окт-26, (17) +1

Значит надо заставить процесс пхп работать в окружении где он ничего кроме вывод, Ivan_83 (ok), 18:53 , 21-Окт-26, (20)

а зачем оно ж сначала разбирает параметры запроса а только потом начинает его о, пох.. (?), 18:51 , 21-Окт-26, (19)

Просто тут многие бегают с upload_progress а я не особо вчитывался - у меня пхп , Ivan_83 (ok), 18:55 , 21-Окт-26, (21) +1

В невзламываемых чрутах на неуязвимой FrreBSD , Аноним (8), 18:35 , 21-Окт-26, (8)
Ну все, пора и его на раст переллмить, Аноним (16), 18:46 , 21-Окт-26, (16)
когда приходится переходить с php на Perl , Аноним (28), 19:02 , 21-Окт-26, (28)

А фикс через nginx указанный тут https www opennet ru opennews art shtml num 6, Аноним (2), 18:22 , 21-Окт-26, (2)

Только для 1 из 3 векторов атаки с использованием второй уязвимости От первой у, Аноним (5), 18:30 , 21-Окт-26, (5)

https github com php php-src releases, Аноним (3), 18:23 , 21-Окт-26, (3)
Хехехе Шышные дыpeни отстрелили ногу ПЫХе аж по версию 5 4 А исправили только д, Аноним (4), 18:24 , 21-Окт-26, (4) –3

Это были неправильные сишники, бойцы с растом не дадут соврать , Аноним (6), 18:32 , 21-Окт-26, (6) –2

им с версии 7 0 нужно уже вводить режим strict типа как у nodejs и ВЫБРАСЫВАТЬ в, Аноним (2), 18:37 , 21-Окт-26, (9)
Эх, то ли ещё будет Дешёвые и очень производительные нейронки открывают ТАКОЙ, Аноним (10), 18:39 , 21-Окт-26, (10) +1

Уже открыли, ещё пол года-год и ручеёк иссякнет до следующего технологического п, Ivan_83 (ok), 18:51 , 21-Окт-26, (18) +1

Совершенно случайно автор коммита неизвестен , Аноним (14), 18:44 , 21-Окт-26, (14) +2
Опубликованы корректирующие выпуски - и когда их ещё завезут в дистрибутивы, онанист (?), 18:56 , 21-Окт-26, (23) +2
Судя по описанию в CVE, авторы писали для курсовой работы, а не для публичного с, Аноним (30), 19:06 , 21-Окт-26, (30)

Кажется это только для вас является открытием Даже я бегло читал историю Persona, Ivan_83 (ok), 19:14 , 21-Окт-26, (35)
Никто этот момент не пропустил - PHP очень много раньше критиковали именно из-за, Аноним (36), 19:15 , 21-Окт-26, (36)

Хм, https fedi katze sh elise 117479383739450605 что-то не сходится Пишут что, Аноним (37), 19:22 , 21-Окт-26, (37)

Сообщения [Сортировка по времени | RSS]

1. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +2 +/–

Сообщение от Аноним (1), 21-Окт-26, 18:16

Да, это грустно. особенно грустно тем у кого nextcloud в докерах которые тоже теперь надо обновлять.

Ответить | Правка | Наверх | Cообщить модератору

7. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Ivan_83 (ok), 21-Окт-26, 18:35

И как это касается некстклаудщиков? У вас регистрация и загрузка файлов открыта?

Ответить | Правка | Наверх | Cообщить модератору

17. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +1 +/–

Сообщение от МИСАКА (?), 21-Окт-26, 18:46

уязвимость в ядре php, т.е. ей подвержен даже "echo 'helloworld'"

Ответить | Правка | Наверх | Cообщить модератору

20. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Ivan_83 (ok), 21-Окт-26, 18:53

Значит надо заставить процесс пхп работать в окружении где он ничего кроме вывода этой строчки сделать не сможет :)
Обычно так и делают, в местах где не хотят чтобы всё поропало после первой же обнаруженной уязвимости или кривого конфига.

Ответить | Правка | Наверх | Cообщить модератору

19. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от пох.. (?), 21-Окт-26, 18:51

а зачем? оно ж сначала разбирает параметры запроса а только потом начинает его обрабатывать.
так что есть рот - значит берет.
В смысле никакая регистрация и не нужна.

Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

21. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +1 +/–

Сообщение от Ivan_83 (ok), 21-Окт-26, 18:55

Просто тут многие бегают с upload_progress а я не особо вчитывался - у меня пхп зажат в тиски средствами ОС и мне мало интересны интимные подробности где у него технологические отверстия и какой размер резьбы потребудется от болта :)

Ответить | Правка | Наверх | Cообщить модератору

8. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Аноним (8), 21-Окт-26, 18:35

> в докерах
В невзламываемых чрутах на неуязвимой FrreBSD.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

16. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Аноним (16), 21-Окт-26, 18:46

Ну все, пора и его на раст переллмить

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

28. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Аноним (28), 21-Окт-26, 19:02

> Да, это грустно
...когда приходится переходить с php на Perl.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

2. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Аноним (2), 21-Окт-26, 18:22

А фикс через nginx указанный тут https://www.opennet.ru/opennews/art.shtml?num=66516 таки актуален?

Ответить | Правка | Наверх | Cообщить модератору

5. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Аноним (5), 21-Окт-26, 18:30

Только для 1 из 3 векторов атаки с использованием второй уязвимости. От первой уязвимости он не защищает.

Ответить | Правка | Наверх | Cообщить модератору

3. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Аноним (3), 21-Окт-26, 18:23

>полное блокирование уязвимостей возможно только через установку обновления
https://github.com/php/php-src/releases

Ответить | Правка | Наверх | Cообщить модератору

4. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." –3 +/–

Сообщение от Аноним (4), 21-Окт-26, 18:24

Хехехе))
Шышные дыpeни отстрелили ногу ПЫХе аж по версию 5.4.
А исправили только до PHP 7.4.

Ответить | Правка | Наверх | Cообщить модератору

6. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." –2 +/–

Сообщение от Аноним (6), 21-Окт-26, 18:32

Это были неправильные сишники, бойцы с растом не дадут соврать.

Ответить | Правка | Наверх | Cообщить модератору

9. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Аноним (2), 21-Окт-26, 18:37

им с версии 7.0 нужно уже вводить режим strict типа как у nodejs и ВЫБРАСЫВАТЬ всякие фичи из языка, а они наоборот продолжают тянуть туда всякую не нужную хрень

Ответить | Правка | Наверх | Cообщить модератору

10. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +1 +/–

Сообщение от Аноним (10), 21-Окт-26, 18:39

Эх, то ли ещё будет. Дешёвые и очень производительные "нейронки" открывают ТАКОЙ ящик Пандоры... Охренеем все.

Ответить | Правка | Наверх | Cообщить модератору

18. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +1 +/–

Сообщение от Ivan_83 (ok), 21-Окт-26, 18:51

Уже открыли, ещё пол года-год и ручеёк иссякнет до следующего технологического прорыва.
Чтобы вы понимали это уже не первый раз в истории индустрии.
Как минимум нечто похожее было с приходом статических анализаторов кода и с появлением фазинга.
Просто во времена анализаторов тема бизапасносте была не так раскручена это всё считалось банальными багами не стоящими особого внимания.

Ответить | Правка | Наверх | Cообщить модератору

14. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +2 +/–

Сообщение от Аноним (14), 21-Окт-26, 18:44

Совершенно случайно автор коммита неизвестен.

Ответить | Правка | Наверх | Cообщить модератору

23. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +2 +/–

Сообщение от онанист (?), 21-Окт-26, 18:56

Опубликованы корректирующие выпуски - и когда их ещё завезут в дистрибутивы

Ответить | Правка | Наверх | Cообщить модератору

30. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Аноним (30), 21-Окт-26, 19:06

Судя по описанию в CVE, авторы писали для курсовой работы, а не для публичного сервиса. Ни контрактных параметров, ни атомарности (всё или ничего). Доверие как в общаге. Всё как то пропустили этап, когда php перешел из общажной стенгазеты в широкий круг сайтов.

Ответить | Правка | Наверх | Cообщить модератору

35. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Ivan_83 (ok), 21-Окт-26, 19:14

Кажется это только для вас является открытием.
Даже я бегло читал историю Personal Home Page языка, и начиналось это ещё во времена cgi, тогда никаких таких параметров не было, а атомарность была только у военных, учёных и энергетиков, притом первые контролировали остальных :)
Те у вас странные хотелки, уровня: а чего вы там в 90х ЫЫ не попросили код без ошибок переписать?

Ответить | Правка | Наверх | Cообщить модератору

36. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Аноним (36), 21-Окт-26, 19:15

Никто этот момент не пропустил - PHP очень много раньше критиковали именно из-за любительского подхода к дизайну языка. И реализация у него такая же. Критиковали не зря.
В современном PHP дизайн чуть улучшили, но груз времени и обратная совместимость - это вещь очень большая, вон до сих пор баги вылазят.

Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

37. "Раскрыты детали критических уязвимостей в PHP и опубликованы..." +/–

Сообщение от Аноним (37), 21-Окт-26, 19:22

Хм, https://fedi.katze.sh/@elise/117479383739450605 что-то не сходится.
Пишут что "still works on 8.5.12!"

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Хоcтинг:

1. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+2 +/–
Сообщение от Аноним (1), 21-Окт-26, 18:16
Да, это грустно. особенно грустно тем у кого nextcloud в докерах которые тоже теперь надо обновлять.
Ответить \| Правка \| Наверх \| Cообщить модератору


	7. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
	Сообщение от Ivan_83 (ok), 21-Окт-26, 18:35
	И как это касается некстклаудщиков? У вас регистрация и загрузка файлов открыта?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	17. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+1 +/–
	Сообщение от МИСАКА (?), 21-Окт-26, 18:46
	уязвимость в ядре php, т.е. ей подвержен даже "echo 'helloworld'"
	Ответить \| Правка \| Наверх \| Cообщить модератору


	20. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
	Сообщение от Ivan_83 (ok), 21-Окт-26, 18:53
	Значит надо заставить процесс пхп работать в окружении где он ничего кроме вывода этой строчки сделать не сможет :) Обычно так и делают, в местах где не хотят чтобы всё поропало после первой же обнаруженной уязвимости или кривого конфига.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	19. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
	Сообщение от пох.. (?), 21-Окт-26, 18:51
	а зачем? оно ж сначала разбирает параметры запроса а только потом начинает его обрабатывать. так что есть рот - значит берет. В смысле никакая регистрация и не нужна.
	Ответить \| Правка \| К родителю #7 \| Наверх \| Cообщить модератору


	21. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+1 +/–
	Сообщение от Ivan_83 (ok), 21-Окт-26, 18:55
	Просто тут многие бегают с upload_progress а я не особо вчитывался - у меня пхп зажат в тиски средствами ОС и мне мало интересны интимные подробности где у него технологические отверстия и какой размер резьбы потребудется от болта :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	8. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
	Сообщение от Аноним (8), 21-Окт-26, 18:35
	> в докерах В невзламываемых чрутах на неуязвимой FrreBSD.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	16. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
	Сообщение от Аноним (16), 21-Окт-26, 18:46
	Ну все, пора и его на раст переллмить
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору


	28. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
	Сообщение от Аноним (28), 21-Окт-26, 19:02
	> Да, это грустно ...когда приходится переходить с php на Perl.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору

2. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
Сообщение от Аноним (2), 21-Окт-26, 18:22
А фикс через nginx указанный тут https://www.opennet.ru/opennews/art.shtml?num=66516 таки актуален?
Ответить \| Правка \| Наверх \| Cообщить модератору


	5. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
	Сообщение от Аноним (5), 21-Окт-26, 18:30
	Только для 1 из 3 векторов атаки с использованием второй уязвимости. От первой уязвимости он не защищает.
	Ответить \| Правка \| Наверх \| Cообщить модератору

3. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
Сообщение от Аноним (3), 21-Окт-26, 18:23
>полное блокирование уязвимостей возможно только через установку обновления https://github.com/php/php-src/releases
Ответить \| Правка \| Наверх \| Cообщить модератору

4. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	–3 +/–
Сообщение от Аноним (4), 21-Окт-26, 18:24
Хехехе)) Шышные дыpeни отстрелили ногу ПЫХе аж по версию 5.4. А исправили только до PHP 7.4.
Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	–2 +/–
	Сообщение от Аноним (6), 21-Окт-26, 18:32
	Это были неправильные сишники, бойцы с растом не дадут соврать.
	Ответить \| Правка \| Наверх \| Cообщить модератору

9. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
Сообщение от Аноним (2), 21-Окт-26, 18:37
им с версии 7.0 нужно уже вводить режим strict типа как у nodejs и ВЫБРАСЫВАТЬ всякие фичи из языка, а они наоборот продолжают тянуть туда всякую не нужную хрень
Ответить \| Правка \| Наверх \| Cообщить модератору

10. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+1 +/–
Сообщение от Аноним (10), 21-Окт-26, 18:39
Эх, то ли ещё будет. Дешёвые и очень производительные "нейронки" открывают ТАКОЙ ящик Пандоры... Охренеем все.
Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+1 +/–
	Сообщение от Ivan_83 (ok), 21-Окт-26, 18:51
	Уже открыли, ещё пол года-год и ручеёк иссякнет до следующего технологического прорыва. Чтобы вы понимали это уже не первый раз в истории индустрии. Как минимум нечто похожее было с приходом статических анализаторов кода и с появлением фазинга. Просто во времена анализаторов тема бизапасносте была не так раскручена это всё считалось банальными багами не стоящими особого внимания.
	Ответить \| Правка \| Наверх \| Cообщить модератору

14. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+2 +/–
Сообщение от Аноним (14), 21-Окт-26, 18:44
Совершенно случайно автор коммита неизвестен.
Ответить \| Правка \| Наверх \| Cообщить модератору

23. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+2 +/–
Сообщение от онанист (?), 21-Окт-26, 18:56
Опубликованы корректирующие выпуски - и когда их ещё завезут в дистрибутивы
Ответить \| Правка \| Наверх \| Cообщить модератору

30. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
Сообщение от Аноним (30), 21-Окт-26, 19:06
Судя по описанию в CVE, авторы писали для курсовой работы, а не для публичного сервиса. Ни контрактных параметров, ни атомарности (всё или ничего). Доверие как в общаге. Всё как то пропустили этап, когда php перешел из общажной стенгазеты в широкий круг сайтов.
Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
	Сообщение от Ivan_83 (ok), 21-Окт-26, 19:14
	Кажется это только для вас является открытием. Даже я бегло читал историю Personal Home Page языка, и начиналось это ещё во времена cgi, тогда никаких таких параметров не было, а атомарность была только у военных, учёных и энергетиков, притом первые контролировали остальных :) Те у вас странные хотелки, уровня: а чего вы там в 90х ЫЫ не попросили код без ошибок переписать?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	36. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
	Сообщение от Аноним (36), 21-Окт-26, 19:15
	Никто этот момент не пропустил - PHP очень много раньше критиковали именно из-за любительского подхода к дизайну языка. И реализация у него такая же. Критиковали не зря. В современном PHP дизайн чуть улучшили, но груз времени и обратная совместимость - это вещь очень большая, вон до сих пор баги вылазят.
	Ответить \| Правка \| К родителю #30 \| Наверх \| Cообщить модератору

37. "Раскрыты детали критических уязвимостей в PHP и опубликованы..."	+/–
Сообщение от Аноним (37), 21-Окт-26, 19:22
Хм, https://fedi.katze.sh/@elise/117479383739450605 что-то не сходится. Пишут что "still works on 8.5.12!"
Ответить \| Правка \| Наверх \| Cообщить модератору