#patch
17 материалов
Разработчики PHP закрыли CVE-2026-109618 и CVE-2026-109619 (PHP2Shell) — обе потенциально дают удалённое выполнение кода без авторизации; патчи вышли для поддерживаемых веток 8.2–8.5 и даже для неподдерживаемых 7.4, 8.0, 8.1. Ожидалось, что атаки начнутся через 15 минут после релиза, Amazon сообщала о попытках за 4 дня до патча, но подтверждённые эксплойты пошли только 25 октября. К этому моменту в рунете на исправленной версии работала лишь пятая часть топ-10 000 сайтов; в той же сводке — eMudhra с 3–8-битными ключами и критический CVE-2026-110264 в GitLab.
habr.com · #security #cve #patch #php #vulnerability
Проект PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, закрывающие CVE-2026-109618 и CVE-2026-109619: неаутентифицированный RCE через повреждение памяти при OOM и через устаревшее глобальное состояние между запросами. Для mod_php есть продемонстрированный эксплойт, срабатывающий до выполнения любого кода приложения. PHP 7.4–8.1 получат только бэкпорты, официальных патчей от проекта им не будет.
lwn.net · #security #cve #patch #php #rce
Опубликован PoC-эксплойт, разработанный с помощью ИИ, включающий неаутентифицированный SSRF, loopback pivot и кражу токена. Plex версии 1.43.3 закрывает уязвимости, активная эксплуатация уже идёт. Рекомендуется срочно обновиться.
arstechnica.com · #security #cve #patch #plex
В октябрьском наборе 1400+ уязвимостей, 78 из них critical, плюс один zero-day CVE-2026-96951 в Windows Shell. Ещё одна дыра в .NET Framework (CVE-2026-108398) была публично раскрыта до выхода патча. Tenable напоминает: Microsoft за год уже перевалила за 4000 CVE, а в KEV-каталоге CISA пока только 26 эксплуатируемых дыр.
krebsonsecurity.com · #security #cve #microsoft #patch
Грег Кроа-Хартман выпустил ядра 7.2.7, 6.18.53 и 6.12.111. Как обычно, патчи большие и содержат много важных исправлений по всему дереву. Пользователям рекомендуется обновиться.
lwn.net · #infra #kernel #linux #patch #stable
В двух версиях Datasette закрыты уязвимости, обнаруженные при аудите с помощью Claude Fable 5.1, GPT-5.6 и GPT-6 Astra. Автор Simon Willison и Alex Garcia неделю работали над фиксами, разделив тесты и реализацию между собой.
simonwillison.net · #security #datasette #patch #security
Сентябрьское обновление стало крупнейшим в истории: 113 критических, два zero-day (CVE-2026-81963 и CVE-2026-85880) уже эксплуатируются. AI помог найти дыры, но эксперты предупреждают: организации не справляются с тестированием такого объёма.
krebsonsecurity.com · #security #cve #microsoft #patch
AlmaLinux и Debian выпустили патчи для dbus-broker, freerdp, gzip, nodejs, php и десятков других пакетов. Даты — 1-2 сентября 2026.
lwn.net · #security #cve #patch #security
Грег Кроа-Хартман выпустил патчи для 7.1.9, 6.18.45, 6.12.104, 6.6.152, 6.1.183, 5.15.216 и 5.10.265. Во всех важные исправления по всему дереву; пользователям рекомендовано обновиться.
lwn.net · #infra #kernel #linux #patch
AlmaLinux, Debian, Fedora, Red Hat выпустили патчи для множества пакетов: .NET 8.0, kernel, bind, haproxy, libXfont2, expat, sqlite и других. Полный список в статье LWN.
lwn.net · #security #cve #linux #patch
Релиз Rsync 3.5 назван «экстраординарным» — 33 исправления безопасности, найденные в ходе аудита обработки путей и демон-протокола. В списке — чтение/запись файлов через симлинки и высокие CVE.
www.phoronix.com · #security #cve #patch #rsync #security
AlmaLinux выпустил патчи для gstreamer1-plugins-bad-free, libXfont2, libtiff, nodejs, rest. Debian обновил expat (DSA-6404-1) и nss (DSA-6403-1). Fedora — libssh, nginx, proftpd, squid, unbound, wordpress. Всего более 25 пакетов.
lwn.net · #security #cve #linux #patch #security
В macOS 26.6 закрыто более 150 уязвимостей. Также вышли macOS 14.8.8 и 15.7.8 для старых устройств. Spotlight-индекс оптимизирован под iOS 27, появилось уведомление о превышении лимита заблокированных контактов. Главная фича следующей версии — Siri AI на LLM.
arstechnica.com · #security #apple #ios #macos #patch
AlmaLinux выпустил обновления для kernel, openssh (версии 8 и 10), nodejs22/24, vim. Debian LTS — для gsasl и ruby-rack. Fedora — для dokuwiki, lego, libnbd, nasm, unbound, valkey. SUSE — для ImageMagick (SLE12/15) и PackageKit. Mageia — для 389-ds-base, libxfont2, nghttp2, perl-DBI.
lwn.net · #security #cve #linux #patch
Опубликованы пакеты с исправлениями уязвимостей для AlmaLinux, Debian, Fedora, Mageia, Oracle Linux. В списке: grafana, libreswan, openjdk-11/17, opkssh, perl-Mojolicious, rpm, libyang, memcached, nginx, sqlite3, .NET 8.0, LibRaw, acl, buildah, openssl11, poppler, dogtag-pki, git-lfs, glibc, go-fdo-client. Подробности о самих уязвимостях не приведены.
lwn.net · #security #cve #linux #patch #security
AlmaLinux, Debian, Fedora, Mageia, Oracle выпустили пакеты исправлений. В списке: glibc (AlmaLinux 9), ядро (AlmaLinux 10), webkit2gtk (Debian stable), firefox (Fedora 44), java-21-openjdk, dotnet, apache, dnsmasq и другие.
lwn.net · #security #cve #linux #patch #security
Ars Technica пишет, что Microsoft исправила 0-day, который первым раскрыл Nightmare Eclipse, и заодно, похоже, закрыла ещё одну отдельную дыру, тоже им обнаруженную. История получилась почти бытовая: исследователь спорит с вендором, вендор спорит в ответ, а потом всё равно выпускает патч.
arstechnica.com · #security #disclosure #microsoft #patch #zero-day