Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Ещё одна уязвимость в PHP, в редких конфигурациях позволяющая удалённо выполнить код"	+/–
Сообщение от opennews (??), 23-Окт-26, 22:09
Разработчики проекта PHP предупредили о выявлении ещё одной уязвимости (CVE-2026-115560), которая потенциально может использоваться для удалённого выполнения кода на сервере при  определённом редком сочетании нестандартных настроек (не в конфигурации по умолчанию) и выполняемого PHP-кода. Подробности о  уязвимости намерены опубликовать после готовности очередных корректирующих выпусков PHP... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66534
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 23-Окт-26, 22:09	+/–
В пятницу вечером я точно не пойду ничего патчить. Удачи понедельничному мне.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #3, #41

2. Сообщение от Аноним (2), 23-Окт-26, 22:12	–1 +/–
Пятничный отказался патчить - понедельничный будет разгребать последствия. Удачи!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #24

3. Сообщение от Аноним (3), 23-Окт-26, 22:16	+1 +/–
Там и патчить нечего, патч не вышел ещё. Если только конфиг менять (и то если не дефолтный был).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

4. Сообщение от Самсоныч (?), 23-Окт-26, 22:20	+/–
Интересно, как весь этот информационный поток вокруг PHP скажется в перспективе на цепочках принятии решений о том, какие технологии выбирать для конкретных новых проектов, и, в конечном итоге, на доле PHP, количестве вакансий и зарплатах, если учесть, что такие решения часто принимают менеджеры, которые не вникаю в технические подробности, а ориентируются на информационный контент.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6

5. Сообщение от Гуманоид (?), 23-Окт-26, 22:22	+1 +/–
Я не могу определиться, это комедия или трагедия? Мне смеяться или плакать?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7, #22

6. Сообщение от Аноним (3), 23-Окт-26, 22:25	+1 +/–
Очень просто: никак. Потому что взломано по сути всё. В Ноде вон тоже недавно уязвимости были, да и в целом там их кладезь, как и с Пыхой, а что вместо этого выбирать? Питон?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #8, #9, #26

7. Сообщение от Аноним (3), 23-Окт-26, 22:25	+2 +/–
Зависит от того, работаешь ли ты с Пыхой.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

8. Сообщение от Аноним (8), 23-Окт-26, 22:33	+/–
> что вместо этого выбирать? Питон? Перл надо выбирать. Без шуток, mod_perl и Ко. в помощь.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #27

9. Сообщение от Самсоныч (?), 23-Окт-26, 22:39	+1 +/–
Из того, что мы наблюдаем, можно сделать вывод, что целый класс проблем связан с тем, что перечисленные языки являются интерпретируемые и, а значит, потенциально подвержены атакам с подстановкой произвольного кода для выполнения. Первое, что приходит в голову: использовать для наиболее критичных фрагментов бизнес-логики самое близкое заточенное под веб решение, лишённое недостатков, присущих интерпретаторам — Golang.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #28, #42

10. Сообщение от Аноним (10), 23-Окт-26, 22:48	–3 +/–
Блин, почему находят столько RCE, но никто не делает червей которые поломают разом всё PHPшное, чтобы добить эту заразу?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12

11. Сообщение от Аноним (11), 23-Окт-26, 22:49	–5 +/–
Мне Клод сам все сделал, что писал то поправил и с сервером поработал. На написании црм в Клоде я сохранил примерно лям и поправить косяки тыщ 100, оцениваю по прежнему прайсу кодеров)))
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #13, #15, #19, #21, #39

12. Сообщение от Tron is Whistling (?), 23-Окт-26, 23:05	+3 +/–
Потому что половина этих RCE интересна только в CVE запостить и на форумах перетереть, реальная эксплуатабельность около 0.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #20

13. Сообщение от Аноним (13), 23-Окт-26, 23:06    Скрыто ботом-модератором	+2 +/–
Ты просто сам стал кодером, только через одно место.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

15. Сообщение от Аноним (15), 23-Окт-26, 23:08	+1 +/–
ОН и этот тупой пост за тебя, дe6илa, написал.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #29

18. Сообщение от Аноним (22), 23-Окт-26, 23:10	+/–
Вам говорили все на Раст переписать? Вы не переписали вот и получите.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #25

19. Сообщение от Аноним (22), 23-Окт-26, 23:10	+/–
Клод тупой gpt6-astra умный.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

20. Сообщение от Аноним (22), 23-Окт-26, 23:11	–1 +/–
100% мамонтов с поломанным вордпрессом рассуждают как и ты.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #23

21. Сообщение от Ivan_83 (ok), 23-Окт-26, 23:11	+1 +/–
Вы в начале покажите сколько токенов и денег потратили потом будет понятно что там за экономия. Ну и сам код тоже не понятно какой на выходе и сможет ли его кто то саппортить.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #30, #33

22. Сообщение от Аноним (22), 23-Окт-26, 23:12    Скрыто ботом-модератором	+/–
Это тип сюжета называется idiot plot где сюжет строится на том что все персонажи идиоты.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

23. Сообщение от Ivan_83 (ok), 23-Окт-26, 23:15	+/–
Дак и что? И вордпрессы и прочее периодически ломают уже больше 10 лет, никакой трагедии в этом нет. Я на шаред хостенге просто при получении очередного письма: "вас тут немножечко поломали" рсинкал туда локальную копию. Технически можно было и в крон запихать чтобы раз в час восстанавливал сам. А у себя проблему решил монтированием в RO всего пхп кода.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

24. Сообщение от Аноним (24), 23-Окт-26, 23:15	+1 +/–
Ага, щас. Субботний помятый и будет разбирать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

25. Сообщение от Ivan_83 (ok), 23-Окт-26, 23:16	+1 +/–
Закопать деньги и время ради глупости жеающих мало.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

26. Сообщение от Гуманоид (?), 23-Окт-26, 23:16	–1 +/–
Kotlin. Выразительный, хорошо спроектированый язык + надежная экосистема Java.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #47

27. Сообщение от Аноним (24), 23-Окт-26, 23:16	+/–
Неуловимый Джо, да.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

28. Сообщение от Ivan_83 (ok), 23-Окт-26, 23:17	+2 +/–
Глупости это. Точно так же никто вам не мешает находить RCE в чёмнить типа nginx и лить туда машинный код для выполнения. Сложнее но принципиально тоже самое.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

29. Сообщение от Вадим Жуков (?), 23-Окт-26, 23:18	+/–
Не. Клоду выгодно чтобы такие идиоты дурость свою демонстрировали. Ведь тогда их окончательно можно будет заменить на ИИ, раз они и технически не справляются лучше (о чём сами говорят, хвастаясь своей якобы эффективностью), и с людьми общаться не умеют. Чем больше будут увольнять таких, тем больше спрос на нейронки у владельцев бизнесов и чиновников — у тех, кто принимает конечные решения о внедрении. Клоду интересны только умные, знающие люди, так как они могут его чему-то научить. А эти... Вымрут первыми. Не жалко.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #35

30. Сообщение от Аноним (30), 23-Окт-26, 23:20	+/–
> Вы в начале покажите сколько токенов и денег потратили потом будет понятно что там за экономия. Либо $100/месяц, либо $200/месяц за подписку. > Ну и сам код тоже не понятно какой на выходе и сможет ли его кто то саппортить. Ну если тебе не понятно, попроси знакомого программиста тебе объяснить. Современные агенты кодят куда лучше тебя, просто смирись с этим.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #32

31. Сообщение от Ivan_83 (ok), 23-Окт-26, 23:23	+/–
Что то журнализды совсем изголодались и не могут кончить постить апокалиптические новости. Осталось дождатся страшных карт где красным будут помечены страны где уже сломался php (потому что админ забыл что надо делать и начитавшись новостей полез и уронил сервер). И снизу такая легенда: - жёлтый - 1 сервер ребутнули на обслуживании - светлокрасный - 1 сервер на страну умер от ребута - красный - 1 сервер на страну где админ списал свои факапы на пхп и русско-корейско-китайских какеров - тёмно красный - таких админов нашлось больше одного И там ещё снизу сразу новость пустить: по последним проведённым статистическим исследования избыточная смертность от бага в PHP составила 2 человека: доставали сервер с верхней полки и он упал им на голову!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #36

32. Сообщение от Ivan_83 (ok), 23-Окт-26, 23:26	+/–
Да видел я как они кодят, у меня тут этих ваших ЫЫ целое ведро набралось. На вид всё красиво написано, а на деле может быть полная лажа и галюны.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

33. Сообщение от Аноним (11), 23-Окт-26, 23:29	–1 +/–
Копейки, на пиво за месяц больше уходит. Смысла тут выяснять ничего нет, я сам ушел с писанины в бизнес. Кодеров нанимать не буду, т.к знаю точно что качество кода будет ниже клода и при малейшей движухе, как сейчас, мне скажут ну тыщ 50-100 будет стоить, это в лучшем варианте. Я знаю вы тут все против ИИ, но как человек  который заказывает, я выберу ИИ
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #34, #40

34. Сообщение от Ivan_83 (ok), 23-Окт-26, 23:35	+/–
Если только ваш бизнес не связан с IT :) Да не против тут ЫЫ, это инструмент, и притом не дешёвый совсем, и который всё ещё надо контролировать. Не может адекватно работающий ЫЫ стоить копейки, там себестоимость выше, вам столько пива не выпить.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

35. Сообщение от Ivan_83 (ok), 23-Окт-26, 23:37	+/–
Тут у вас противоречия. Умные в чиновники не идут. В бизнесе тоже не совсем про ум основной навык.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #37

36. Сообщение от q (ok), 23-Окт-26, 23:38	+/–
> админ забыл что надо делать и начитавшись новостей полез и уронил сервер Ну а что "надо делать", когда обновлений нет, пыха дырявая, эксплоиты на публике, и орды автоматических агентов щелкают сервера? Или твои пыхопроекты даже боты не посещают?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #43

37. Сообщение от Аноним (37), 23-Окт-26, 23:44	+/–
умные, как я посмотрю, ядерные бомбы придумывают, частицы сталкивают, разводят "чуму" в лабораториях и придумывают всякие методы сокращения поголовья скота на земле.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #45

38. Сообщение от Боевой Петух (?), 23-Окт-26, 23:54	+2 +/–
Очередная "уязвимость"? По прежним еще ни одного взлома даже на локал хостах от доморощенных ютубных безопасТников еще нет.
Ответить | Правка | Наверх | Cообщить модератору

39. Сообщение от Боевой Петух (?), 23-Окт-26, 23:55	+1 +/–
> Мне Клод Хватит фантазировать, клод не работает по подписке с РФ, а на сторонние API у тебя не хватит денег.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

40. Сообщение от Боевой Петух (?), 23-Окт-26, 23:57	+1 +/–
> Копейки, на пиво за месяц больше уходит. Так только может говорить тот, кто ни копейки не заработал работая на себя, а только пиво жрёт с подачек от дяди. > я сам ушел с писанины в бизнес. На фоне этого особо смешно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

41. Сообщение от Инопланетянин (?), 23-Окт-26, 23:58	+/–
Возможно в понедельник уже и нечего и негде будет патчить. С другой стороны хорошо, можешь дома остаться.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

42. Сообщение от Инопланетянин (?), 24-Окт-26, 00:04	+/–
> Из того, что мы наблюдаем, можно сделать вывод, что целый класс проблем > связан с тем, что перечисленные языки являются интерпретируемые и, а значит, > потенциально подвержены атакам с подстановкой произвольного кода для выполнения. Может просто нормально язык проектировать? ПХП это же жуть по дизайну языка, еще и php.ini , который позволяет яп менять как угодно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #46

43. Сообщение от Ivan_83 (ok), 24-Окт-26, 00:05	+/–
Всмысле ронять сервер на голову единственный выход?) У меня свой пыха проект сугубо для локалочки - ssdpd (см на гитхубе). Руторрент тоже для локалки. А докувики и некстклауд торчат в инет и сидят в разных chroot_env (см гитхуб) - там не разгуляешься, при всём желании. Сейчас и правда что то делать уже поздновато, надо было раньше озаботится затягиванием гаек над пхп воркерами чтобы они могли делать только то что требуется, а не всё что захочут. Почему для большинства админов зима каждый раз приходит неожиданно - вопрос интересный. мяв тоже сейчас поди сидит, смотрит на свой токио и двольно улыбается читая новости :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

44. Сообщение от Аноним (44), 24-Окт-26, 00:05	+/–
А вот был бы у людей статичный вебсайт, в стиле Web 1.0, не было бы проблем. А если нужда динамика, сейчас можно и на Go вебсайт сворганить. Не понимаю, почему нужен скриптовый PHP.
Ответить | Правка | Наверх | Cообщить модератору

45. Сообщение от Ivan_83 (ok), 24-Окт-26, 00:12	+/–
Придумывают электричество, автомобили, самолёты, компьютеры, инторнеты, джпеги чтобы "прекрасных дам" быстрее увидеть... В зависимости от склада и возможностей ума есть намного более прибыльные отрасли чем чиновник и бизнесмен и при этом более интересные и менее хлопотные и напряжные.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

46. Сообщение от Ivan_83 (ok), 24-Окт-26, 00:19	+/–
Да, давайте каждый придумает свой язык, хотя бы по одному до обеда и по ещё два к вечеру. А на следующей неделе, к пятнице, нужно будет написать для каждого языка по 15 фреймворков и бибилиотек покрывающих все области знаний. Вас ещё не тошнит от обилия языков? Не? Поди сидите где то в загончие и админите или пилите что то на одном. И от того что завтра вы напишите самый лучший язык в галактике во все времена и такой же набор либ, фреймворков, линтеров, компеляторов, анализаторов и сборочных систем к нему - вон те бизнессы и прочие рабочие процессы на все остальных языках, они никуда не денутся. Притом они никуда не деваются даже если ведор умират сам или сам их прикапывает, как было с дельфи и вижалбейсиком. И от старости они не очень то умирают, как кобол с фортраном.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

47. Сообщение от Ivan_83 (ok), 24-Окт-26, 00:21	+/–
Надёжная экосистема - это не та где один автор лефтпада всё сломал?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема