Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Нарушения эмбарго и затягивание разработки патчей в ходе устранения уязвимостей в PHP"	+/–
Сообщение от opennews (??), 22-Окт-26, 09:10
Разработчики PHP опубликовали отчёт о проблемах, возникших в процессе устранения исправленных вчера критических уязвимостей в PHP. Информация об уязвимости, возникающей при исчерпании доступной памяти, была получена в ходе внешнего аудита ещё в 2024 году, но была воспринята лишь как теоретическая возможность совершения атаки. Исправление затянулось из-за проблем с достижением консенсуса среди разработчиков PHP о способе устранения уязвимости. Рассматривалось несколько конкурирующих предложений о решении проблемы, каждое из которых имело свои минусы. Приходилось выбирать между нарушением обратной совместимости, появлением новых векторов для атак, вызывающих отказ в обслуживании, и необходимостью внесения изменений во множество сторонних дополнений... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66523
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

2. Сообщение от пох. (?), 22-Окт-26, 09:16    Скрыто ботом-модератором	+3 +/–
дол..ы проделали офигенную многолетнюю работу по скрытию своей некомпетентности. Но один дятел (с дешманским ыы) разрушил всю этажерку. Малчык - уиноат! Мог бы, как вся еуропа, просто выключить свои серверы и подождать пол-суток. P.S. и рукож0пие этих ребят просто феерично - попытались починить неподдерживаемые версии, ок, но вместо того чтобы выложить патчи - выложено ЭТО: https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-... вот прям так - с ERROR, и еще и предложением "шлите письма на давно мертвый php.net". Безусловно все сейчас кинутся пересобирать неведомую поделку в которой понаделано непонятночто и не исправлено ни одной уязвимости за последние три года (а их было).
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6, #7, #11, #41

3. Сообщение от Смузихеб забывший пароль (?), 22-Окт-26, 09:26	+9 +/–
как-то не совсем корректно в данной ситуации применение термина "эмбарго"
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #28, #38

4. Сообщение от Аноним (4), 22-Окт-26, 09:30	+/–
ИИ - кожанные 1:0
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #29, #40

5. Сообщение от Colorado_House_of_Representatives (?), 22-Окт-26, 09:43	+5 +/–
Кто там в прошлой новости писал комментарии, что уязвимость "теоретическая"? Вот из-за подобных их и не исправляют.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #13, #26, #49

6. Сообщение от FSA (ok), 22-Окт-26, 09:51	+3 +/–
А сколько таких открытий будет в других продуктах.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #18, #33

7. Сообщение от Аноним (7), 22-Окт-26, 09:56	+1 +/–
Пхп слелал пыхпых, только вышел пшик. Прямо как у Биоварей - "я разработчик, моей вины здесь нет" "Везде одна и та же история" © Gothic
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

8. Сообщение от Аноним (8), 22-Окт-26, 09:58	–5 +/–
напомните: пхп уже умеет в юникод в стрингах?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #48

10. Сообщение от Асен Тотин (?), 22-Окт-26, 10:17	+/–
Oh, baby, baby, it's a wild world...
Ответить | Правка | Наверх | Cообщить модератору

11. Сообщение от Ононем (?), 22-Окт-26, 10:18	–4 +/–
Ну надо же, разрабы внесли исправления безопасности в версию, которая официально не поддерживается 4 года как. Негодяи какие =)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #19, #25

12. Сообщение от Аноним1234 (?), 22-Окт-26, 10:19	+/–
Нужна реализиция php на rust, возможно уже есть.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14, #17, #22, #32

13. Сообщение от Анонимно (ok), 22-Окт-26, 10:20	+2 +/–
> Спустя 16 часов после раскрытия деталей об уязвимостях универсального рабочего эксплоита ещё не появилось и массовых атак пока не наблюдается, что объясняется сложностью эксплуатации уязвимости из-за необходимости определения раскладки структур в памяти процесса, которая специфична в каждой сборке. А разве не теоретическая?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #16, #21, #35

14. Сообщение от Аноним (14), 22-Окт-26, 10:22	+/–
https://github.com/hwawshy/ferrumphp
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #15, #23

15. Сообщение от Аноним1234 (?), 22-Окт-26, 10:25    Скрыто ботом-модератором	–2 +/–
Последний коммит 2 месяца назад. Можно считать что протухло, если речь идёт о вайбкодинг проекте.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

16. Сообщение от Аноним (19), 22-Окт-26, 10:25	+1 +/–
Просто адаптируется для каждой популярной сборки, уверен, нейронка сделает это за 10 секунд. Таки оправдательные пассажи не от большого ума.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #20

17. Сообщение от Ултыргаш (?), 22-Окт-26, 10:26	+/–
Я ждал этого комментария :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

18. Сообщение от пох. (?), 22-Окт-26, 10:26	+3 +/–
на корявой подпорке этих других, будем надеяться, не стоит вся инудс-трия. с пехепе главная-то бяда что за четверть века - понастроили.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

19. Сообщение от Аноним (19), 22-Окт-26, 10:27	+3 +/–
Прикол в том, что годами знали, и ничего не делали. А это имитация деятельности.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

20. Сообщение от пох. (?), 22-Окт-26, 10:27	+2 +/–
там и незачем адаптировать - просто двигай окно на ходу пока не попадешь. попыток-то бесконечное количество.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

21. Сообщение от Аноним (21), 22-Окт-26, 10:32	+3 +/–
Достаточно собрать типичные слепки для популярных версий дистрибутивов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

22. Сообщение от Аноним (22), 22-Окт-26, 10:33	+/–
https://phprust.com/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

23. Сообщение от Аноним (23), 22-Окт-26, 10:35	+/–
так это обертка вокруг Zend engine
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

24. Сообщение от menangen (?), 22-Окт-26, 10:36	+/–
Какой-то пхп стал "корпорастный", никакого духа opensource! Скрывают дырищу прям как Adobe Flash, лишь бы хомячки и дальше сидели на водпрессах и не побежали толпой к конкурентам PHP-Inc
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27

25. Сообщение от пох. (?), 22-Окт-26, 10:38	+1 +/–
разрабы внесли хз что хз во что, используемое ровно никем. Нужно абсолютно никому в мире. И скорее всего - еще и неработоспособно. Вместо того чтобы делать как нормальные люди - выложить для заведомо НЕ ИМИ поддерживаемых версий просто отдельный патч, который удобно смотреть глазами и уже потом решать, адаптировать к своим изменениям или поискать другие пути. Так делает, например, nginx. Все равно все кто на самом деле поддерживал что-то всерьез - именно это и будут вынуждены делать, у них своих патчей поверх версии 2022го года десятки. Но вместо просто взять и посмотреть - надо делать диф с нормальной версией, проверять что там только это и нет лишнего мусора, и потом уже разбираться как это интегрировать в свои. Демонстрирует умение этих дятлов в инфраструктуру и в разработку, и понимание как вообще люди пользуются их продуктом. Как будто их умения кодить было недостаточно. По нулям по всем пунктам.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

26. Сообщение от menangen (?), 22-Окт-26, 10:39	+/–
Это боты Цукерберга успокаивают общественность, что интимные фото в морокниге в полной безопасности и никакой выкачки тоннами нигабайтов домашнего прона нет в помине у всяких перисхилтонов
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #31, #42

27. Сообщение от Аноним (27), 22-Окт-26, 10:39	+/–
> к конкурентам PHP-Inc Каким?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #30

28. Сообщение от пох. (?), 22-Окт-26, 10:40	–1 +/–
да, эмбарго это ж чтоб в иране не компилировали.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

29. Сообщение от пох. (?), 22-Окт-26, 10:40	+2 +/–
ну здрасьте, там минимум 3:0 и еще, кажется, один гол в свои ворота?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #68

30. Сообщение от Аноним (30), 22-Окт-26, 10:41	+2 +/–
которые на питоне
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

31. Сообщение от пох. (?), 22-Окт-26, 10:41	+2 +/–
у ботов все хорошо, у них аналогов не имеющая переделка пятой версии, там действительно с улицы поломать будет сложно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

32. Сообщение от Аноним10084 и 1008465039 (?), 22-Окт-26, 10:42	+/–
Помню на Хабре в своё время хайпила реализация на java, на jvm. Там правда совместимости со всеми zend-библиотеками не стал делать автор
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

33. Сообщение от menangen (?), 22-Окт-26, 10:42	+/–
...недели через две додумаются бложик-движок проверить и опять будут отключения 70% интернета =)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

34. Сообщение от Аноним (-), 22-Окт-26, 10:44    Скрыто ботом-модератором	+/–
Глобально и надежно™️
Ответить | Правка | Наверх | Cообщить модератору

35. Сообщение от User (??), 22-Окт-26, 10:46	–3 +/–
Ну, на несуществующем проекте на несуществующем локалхосте - конечно же, теоретическая. Можно даже сказать, "несуществующая" - ЛЛМ наполлюционировал, да. Можешь ничего не обновлять - уверен, что неуловимого Джо ОПЯТЬ не поймают.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #50

36. Сообщение от Аноним10084 и 1008465039 (?), 22-Окт-26, 10:46	+1 +/–
Во времена четвертого или пятого PHP (удаляли уже в пятом вроде) помню их большие кампании о пагубности register_globals или magic_quotes, что вот удалим их - и заживём. Зажили!
Ответить | Правка | Наверх | Cообщить модератору

37. Сообщение от Жироватт (ok), 22-Окт-26, 10:48	+/–
> Calif, выявившая одну из уязвимостей, по ошибке опубликовала видеоролик > по ошибке опубликовала Как мотивировать прозаседавшийся комитет работать быстрее? Просто слить уязвимость в паблик! Гениально
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #44

38. Сообщение от Жироватт (ok), 22-Окт-26, 10:49	+1 +/–
Другого нет. "Отсрочка" или "Время тишины" не прижились, а это звучит-то как.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

39. Сообщение от Аноним (41), 22-Окт-26, 10:50	+1 +/–
как читает новость промптописатель > ещё в 2024 году (это пропускаем) > 11 и 24 августа 2026 года бям, бям, бям, (большая языкастая модель) хаха лудиты уходит оттачивать искусство промпта.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #45

40. Сообщение от Аноним (40), 22-Окт-26, 10:50	+/–
ИИ -- такое же порождение кожаных, как и пыхпых. А это значит...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #47

41. Сообщение от Аноним (41), 22-Окт-26, 10:51    Скрыто ботом-модератором	+/–
>Но один дятел даже в новости два участника.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

42. Сообщение от Жироватт (ok), 22-Окт-26, 10:51	–1 +/–
К ним доступ только после покупки доступа у пейсбука и у ЦРУ (у тех в приоритете)?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

43. Сообщение от пох. (?), 22-Окт-26, 10:51	+4 +/–
> и массовых атак пока не наблюдается Логично, ибо это "уязвимость" сферическая в вакууме, которая может быть задействована только в тепличных специально созданных условиях. В реальных сетапах вероятность её эксплуатации примерно 0%.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #46

44. Сообщение от Аноним (40), 22-Окт-26, 10:52    Скрыто ботом-модератором	+/–
"Караул устал!"
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

45. Сообщение от Аноним (45), 22-Окт-26, 10:54    Скрыто ботом-модератором	–2 +/–
Как читает луддит ИИ-ненавистник: >> ещё в 2024 году (это пропускаем) "но была воспринята лишь как теоретическая возможность совершения атаки" - главное это пропускаем! то что мясные не смогли придумать эксплойт и так "ну проблема есть ну и буй с ней, давайте позаседаем годик-два, ули нам торопиться" >> 11 и 24 августа 2026 года при помощи той самой БЯМ эксплойт был найдет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

46. Сообщение от menangen (?), 22-Окт-26, 10:58    Скрыто ботом-модератором	+/–
Просто языковые модели ещё не прогрелись и не проиндексировали эскплоит. Щас дня 4 пройдёт и мамкины какиры повалят сайтоподелия со сливом содержимого бд и ключей, солей и прочей дряни, надеюсь, первыми начнут ломать .gov
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

47. Сообщение от menangen (?), 22-Окт-26, 11:02	+/–
Ну так ыы писали учёные! А там питончик православный, а не богомерзкий слон-жывотное
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

48. Сообщение от menangen (?), 22-Окт-26, 11:11	+/–
Сейчас стринги приходится подтягивать админам шаред хостингов
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #53

49. Сообщение от пох. (?), 22-Окт-26, 11:12	+3 +/–
Так она действительно теоретическая, существующая только в вакууме, в специально созданных тепличных условиях. Ни одного реального взлома - как подтверждение.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #65

50. Сообщение от пох. (?), 22-Окт-26, 11:14	+/–
Если бы эта "уязвимость" была реализуема на практике, уже был бы хотя бы один громкий взлом за почти сутки. Пока её никто не смог повторить. Попахивает очередным ковидобесием.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

52. Сообщение от Ilya Indigo (ok), 22-Окт-26, 11:21	+/–
> каждое из которых имело свои минусы. Так какое исправление в 8.5.12 с каким минусами?
Ответить | Правка | Наверх | Cообщить модератору

53. Сообщение от Аноним (8), 22-Окт-26, 11:21	+/–
они что, анимешники?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #61

54. Сообщение от FSA (ok), 22-Окт-26, 11:23	+/–
Я - заинтересованное лицо. Но я вижу, что да, проблема есть. По сути, разработчики всё починили максимально быстро. Но PHP был на столько популярен, что многие забивали на обновление версий PHP. Лично я не забивал и регулярно обновлял свои проекты, чтобы они работали с актуальными версиями. Но это были мои пет-проекты. Там я царь и бог. А вот те, кто до сих пор оставался на PHP 7 и ниже, это стало проблемой. А, вообще, я не вижу сейчас проблемы переделывать проекты под актуальные версии PHP. Как уязвимость нашли? Через ИИ! Так и прогоните свой код на древней версии через ИИ и спросите что надо починить, чтобы оно стало работать на PHP 8.4 хотя бы. Можно довериться ИИ, а можно заставить программистов это сделать, это ваше дело, на сколько вы хотите экономить. Думаю ИИ в будущем преподнесёт ещё много сюрпризов на счёт безопасности не только PHP, но и других популярных вещей.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #58, #60

55. Сообщение от beany (?), 22-Окт-26, 11:23    Скрыто ботом-модератором	–1 +/–
Раздули истерию на ровном месте.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #56

56. Сообщение от пох. (?), 22-Окт-26, 11:28	–1 +/–
> Раздули истерию на ровном месте. Чем-то ковидобесие напоминает, тоже раздули из мухи слона, а потом дернули рубильник и по "щёлк" вырубили "пандемию".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #59

58. Сообщение от Аноним (58), 22-Окт-26, 11:35	+1 +/–
Обычные программисты-исполнители не распоряжаются своим временем. У них есть начальник и всякие продакты, которым подавай новые фичи. Продакт же не пойдёт к генеральному со словами: "мы возьмём полгода на обновление версии пхп", ведь тогда ему не дадут премию. Все проблемы от сути капитализма.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54 Ответы: #63

59. Сообщение от beany (?), 22-Окт-26, 11:37	–2 +/–
Все подобные жупелы работают по одним и тем же паттернам: выдумать проблему(или дико преувеличить), создать искусственную панику, а потом в облике Иисуса подарить гениальное решение мегапроблемы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56

60. Сообщение от нах.. (?), 22-Окт-26, 11:39	+/–
> Я - заинтересованное лицо. Но я вижу, что да, проблема есть. По > сути, разработчики всё починили максимально быстро. с 24го года управились, аж пыль столбом. > на древней версии через ИИ и спросите что надо починить, чтобы > оно стало работать на PHP 8.4 хотя бы. Можно довериться ИИ, оно конечно _как_то_ запустился. Но я не хотел бы чтоб мой банк в который приходит зарплата пошел этим путем. (в тех где я храню свои долги - пожалуйста, всегда рады помочь, табуретку там подержать, петельку на шее получше завязать) это самое неудачное использование ыы какое только можно придумать, если что.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54 Ответы: #64

61. Сообщение от анм (?), 22-Окт-26, 11:39	+/–
анимешники - чулочники стыдно не знать
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53

63. Сообщение от нах.. (?), 22-Окт-26, 11:50	+/–
> Обычные программисты-исполнители не распоряжаются своим временем. У них есть начальник > и всякие продакты, которым подавай новые фичи. Продакт же не пойдёт > к генеральному со словами: "мы возьмём полгода на обновление версии пхп", мы это делали ДВАЖДЫ. (не возьмем полгода, а - ближайшие три-пять месяцев нам придется срочно закрывать техдолг, поэтому  - да, мы будем существенно медленнее выполнять запросы бизнеса и просим хотя бы временно увеличить нам штат) > ведь тогда ему не дадут премию. Все проблемы от сути капитализма. капиталисты очень не любят когда их грабят. Поэтому расходы на бронированные двери вполне одобряют.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

64. Сообщение от FSA (ok), 22-Окт-26, 11:51	+/–
> оно конечно _как_то_ запустился. Но я не хотел бы чтоб мой банк в который приходит зарплата пошел этим путем. Что-то мне подсказывает, что банки не используют PHP для финансовых операций. Там более проверенные вещи, вроде Java и др. Вот это будет настоящий коллапс, если что-то подобное найдут в этих штуках.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #66

65. Сообщение от Аноним (19), 22-Окт-26, 11:51	+/–
А как ты взломы обнаружишь? Тебе лично докладывают через минуту после начала расследования?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

66. Сообщение от нах.. (?), 22-Окт-26, 12:09	+/–
> Что-то мне подсказывает, что банки не используют PHP для финансовых операций. Там хватит пролома какого-нибудь внутреннего сервиса (ой?! как назло торчащего вовне. ну там агентам надожи какта работать!) и да, их таких есть. > более проверенные вещи, вроде Java и др. Вот это будет настоящий > коллапс, если что-то подобное найдут в этих штуках. там как раз проще все, ни тебе лонгджампов ни громадных поверхностей для атаки. А по мелочи всякие томкэты - так олвейс хез бин, по семь раз на дню. Но кроме бэктрейса вряд ли что-то получишь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64 Ответы: #69

67. Сообщение от Аноним (67), 22-Окт-26, 12:11	–1 +/–
Я сам программист и я тоже жутко не люблю компромиссные решения, когда приходится выбирать наименьшее зло. Я перфекционист. Люблю, чтобы все было идеально.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #70

68. Сообщение от Аноним (68), 22-Окт-26, 12:14    Скрыто ботом-модератором	+/–
Одноточечный пох, ты не настоящий пох.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

69. Сообщение от Аноним (30), 22-Окт-26, 12:22	+/–
> там как раз проще все, ни тебе лонгджампов ни громадных поверхностей для атаки. Дак в пхп longjump в Сишных исходниках. Думаешь в C++ных исходниках джавы его нет?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #66

70. Сообщение от Анонимомус (?), 22-Окт-26, 12:24	+/–
С опытом приходит, что не бывает идеального кода, красивый код - не всегда оптимальный, хорошо работающее решение не всегда красивое
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема