PHP готовит экстренные обновления безопасности: потенциальная возможность удалённого выполнения кода на серверах

А все что надо - релизуется вручную. Любые структуры из других языков.

Это девиз ассемблера.

А в чём непосредственно проблема?

В моем случае проблема была… не интересно местному сообществу. Там парсились логи одной крупной конторы.

Просто мой тезис был в том, что это огромное количество костылей для такой задачи.

И я его подтверждаю. Вообще разногласий вот щас не вижу.

Сейчас поломают 90% сайтов.

рутрекер жив и ладно

Там ничего существенного. http3 известный источник дыр, никто его в здравом уме сейчас не будет в проде включать (так же как http2 10-15 лет назад). SSI не знаю кто вообще использует, кеш сессий дефолтно выключен и в целом не особо полезен (nginx обычно не узкое место в обработке запросов), а даже если и включён - уязвимость там в проверке клиентских сертификатов (всмысле что можно притвориться кем-то другим), которыми опять же никто не пользуется.

А вот ещё два там переполнения буфера, которые почему-то только ссылками на CVE (93479, 15176) но в тексте не упомянуты - выглядят уже опаснее, но обе связаны с редкими сценариями в конфигах.

http3 известный источник дыр, никто его в здравом уме сейчас не будет в проде включать

уже на более 40% сайтов включен! плюсов от http/3 гораздо больше, чем рисков от возможных уязвимостей

Ага, будешь модным это круто, а то что это открывает дыры да и пофиг, авось обойдётся.

Если есть возможность сразу обновляться, почему бы нет.

Заблокированный http/3 не очень повлияет на доступность, при неответе будет переход на http/2, да и его в любой момент можно отключить.

уже на более 40% сайтов включен! плюсов от http/3 гораздо больше, чем рисков от возможных уязвимостей

А лор то на 1.1 до сих пор…

HTTP/1.1 200

Server: QRATOR

Date: Wed, 21 Oct 2026 19:15:47 GMT

Content-Type: text/html;charset=utf-8

давно заметил, писал об этом в 2024 и 2026

Ты понимаешь что дыры появляются не в момент опубликования исправлений к ним, а намного раньше?

понимаю, как и то, чтобы тебя начали ломать до, нужно быть очень ненавистным или невезучим )

Если тебе плевать на безопасность то можешь хоть рут-пароль от ssh своего компа публиковать (на лоре такое было - кто-то хотел чтобы ему там помогли с чем-то), а если не плевать - то обновиться после публикации фиксов конечно хорошо, но гораздо лучше когда тебя исправленное изначально не задевало.

Я пытался, тестировал, кстати, но оказалось, что он не дает никаких преимуществ. Скорость? Скорость та же. А частенько и быстрее за счет оптимизаций, которые придумывали люди гораздо умнее и опытнее меня. Удобства никакого. Гораздо проще работать на нормальных языках - еще и преносимость нормальная.

Но девиз в целом нормальный. И во многом правдивый и для других языков.

Вот ты на питоне работал? Да, там лям модулей готовых, но половина из них вообще не работает, а вторая половина работает криво или не так как тебе надо. А когда ты напишешь модуль сам - ты знаешь и как он работает точно и делать он будет точно то, что хочешь ты.

И главное - это не так сложно как кажеся на первый взгляд и стоит того на длительной дистанции.

Но даже если будут фиксить 5.6, как ты думаешь, есть ли официальный пакет с PHP 5.6 для Дебианов 12 и выше? Я такого не встречал.

Официального, может, и нет, а с sury.org я Debian 11 (который уже EOL) обновил. Причем там и для моего 8.2 собрано, и для 5.6 тоже.

hetzner божится, что уже обновил пых-пых кругом. завтра проверю

Дык как JSON-то представлять?

Ну так в виде луа-таблицы. При загрузке жсона создаешь из него луа-структуру, работаешь с ней, а потом, если надо куда-нибудь передать – кодируешь в json. Все это действительно делается парой строчек, правда с использованием внешней библиотеки, но в луа все так:

json = require "json"
json.encode({ 1, 2, 3, { x = 10 } }) -- Returns '[1,2,3,{"x":10}]'
json.decode('[1,2,3,{"x":10}]') -- Returns { 1, 2, 3, { x = 10 } }

То есть про вложенные массивы (а уровни вложенности бывают разные)

вложенность тоже работает, возьми да посмотри, нешто не любопытно?

Я когда в одном софте со встроенным lua скрипты писал, раз 20 в массивах ошибался. Но я им два дня попользовался и всё :)

да привыкнешь, оспади. Я тоже пару лет плевался, а потом даже удовольствие получать стал, главное расслабиться и не сопротивляться :)

Понятия не имею, как правильно ответить на этот вопрос

"прошу прощенья, но что значит чьих?! "

Просто мой тезис был в том, что это огромное количество костылей для такой задачи

Иерусалимски писал что это все специально так, да, мол, много всего в языке не хватает, но он намеренно минималистичный и через это простой и быстрый, а все эти мелочи, типа джоина/сплита массива, кому надо – реализуют. Он художник, он так видит: языков, которые все подобное тащат в себя – пруд пруди, тот же PHP, а вот луа на то и луа, что не тащит

и чтобы он сразу работал, плюя на все проблемы.

Вот это как раз ОЧЕНЬ спорное утверждение. Спроси у ЖСеров, у которых 2+2=22.

Как-то индустрия пришла к тому, что ошибки надо не проглатывать, а обрабатывать явно.

Спроси у ЖСеров, у которых 2+2=22.

ну так они ССЗБ: создавали язык для одного, а использовать повадились для другого. Создавали чтоб по-быстрому формочки чекать, а стали писать на нем огромные приложения на сотни тысяч строк, а он, кто бы мог подумать, для такого не подходит

Предположу, что они делали «для простого народа» Типа привычнее считать с единицы, так в жизни делают.

Создавали чтоб по-быстрому формочки чекать, а стали писать на нем огромные приложения на сотни тысяч строк,

Я с тобой согласен. Могу тоже самое написать про ПХП.

ну так они ССЗБ

Вот тут… А кто Буратины? Те, кто пользуются? Так монополия на фронте. Создатели языка? Во-первых, не под это дело язык создавался, во-вторых к их чести, они его довольно заметно перелопатили и он стал отдалённо напоминать нормальный язык. Создатели барузеров? Ну, тогда очень сильно угорали по обратной совместимости. Короче, так вышло. Теперь сидим и радуемся. И делаем вид, что нам так нравится.

Кому интересно что там, так и не нашел ссылку в треде: https://github.com/eness/php2shell-CVE-2026-109618-CVE-2026-109619-PoC

А это для всякого legacy: https://github.com/Anton-Barinov/php2shell-patches

мне думается, можно бы и в новость снизеньку добавить…

Вот ты на питоне работал? Да, там лям модулей готовых, но половина из них вообще не работает, а вторая половина работает криво или не так как тебе надо. А когда ты напишешь модуль сам - ты знаешь и как он работает точно и делать он будет точно то, что хочешь ты.

Дайте мне 1’000’000$.

1$ - за то, что подключил модуль

999’999$ - за то, что знал, какой.

Они не все являются мусором. Но полезные, надо искать/знать, это есть такое. И да, иногда проще самому что-то написать. Впрочем, то смотреть надо.

И не просто дыра, дырища.

И тут я обрадовался, что пет проект у меня на Golang-е.

Это зависит от того какой модуль ты пишешь. Я вот что-то не готов beautifulsoup свой писать. Даже тупую валидацию email согласно RFC ни на одном языке не хочу делать. Если есть готовая, то возьму готовую, только чтоб RFC соответствовала на 100% (ИРЛ из-за того какой RFC у email адресов почти везде берут неполноценные реализации).

beautifulsoup

Я написал свою реализацию и форумов с хтмлом и ютф8, там где нет даже графических примитивов и создал свои анимации, там где их нет (луа5.1). Создал свой вполне юзабельный войс-чат уровня дискорда года этак 2013(node.js+rust).

Сделать можно что угодно - вопрос во времени.

Оно всегда пилится по необходимости, когда других вариантов нету, а работать ка кто надо. И постепенно фича за фичей.

Главное ограничение - не желание, не возможности, а ресурсы.

Откуда это?

тут

https://www.reddit.com/r/SecOpsDaily/comments/1xbg7zh/rapid_response_php2shell_leaked_critical_php

Читать сначала научись, да.

Могу тоже самое написать про ПХП.

Я уже то же самое выше написал про пхп, а ты спорить почему-то стал. Скрипты это по-быстрому накидать какую-то простую логику. Писать сложные алгоритмы на них не надо. По прямому назначению (быстро накидывать простую логику) пхп прекрасен.

Те, кто пользуются? Так монополия на фронте.

Если это про жс, то ответ простой - не надо писать сложные «программы» в скриптах сайтов вообще. Это нецелевое использование веба. Те, кто нецелевым образом использует веб (пишет на нём так называемые приложения) и использует для этого нецелевое использование жс (опять же, сложные алгоритмы вместо обработки какой-нить кнопки формы) - всё по кругу делают не так, и логично что получается плохо - и по реализации, и по интерфейсу.

Те, кто не успел с семерки и пятерки мигрировать (а таких много) - приплыли :)

PHP 7.x End of Life (EOL) All 7.0 - 7.4 versions No Official Patch (EOL) Core ext/session logic vulnerable; urgent mitigation or upgrade required PHP 5.x End of Life (EOL) 5.4.0+ (with RFC1867 progress tracking) No Official Patch (EOL) Official support ended; isolate host or disable upload progress

Да есть уже и патчи и пакеты вплоть до php 5.6 ещё со вчерашнего дня, не нагнетай.

Если это про жс, то ответ простой - не надо писать сложные «программы» в скриптах сайтов вообще. Это нецелевое использование веба.

(смотрю задумчиво на современный веб.)

Не, ну так-то согласен.

Скрипты это по-быстрому накидать какую-то простую логику. Писать сложные алгоритмы на них не надо.

(смотрю на почти весь бек)

Не, вообще не согласен.

json

регекспов

А?

Хостер написал:

Разработчики PHP сообщили о двух критических уязвимостях, потенциально затрагивающих сайты на PHP.

Для защиты сайтов на виртуальном хостинге мы ограничиваем работу upload_progress и загрузку файлов через multipart/form-data. Из-за этого отдельные функции сайтов могут временно работать некорректно.

На ЛОРе конечно в основном лунатики с других планет и используют Си на своих сайтах. А Битрикс, например, как-то жив ещё и развивается.

Уточню - для 7.4 есть официальный коммит в репе, для 5.6 - сторонний патч.

И кстати непонятно какие версии подвержены. upload_progress добавили в 5.4 но там не только в нём вроде проблема. 5.0 уже уязвимо или как?

Ужасно много воды и даже нет информации кто нашел, как нашли, что эксплойт делает. Все это в один абзац можно было уместить.