#php
8 материалов
Разработчики PHP закрыли CVE-2026-109618 и CVE-2026-109619 (PHP2Shell) — обе потенциально дают удалённое выполнение кода без авторизации; патчи вышли для поддерживаемых веток 8.2–8.5 и даже для неподдерживаемых 7.4, 8.0, 8.1. Ожидалось, что атаки начнутся через 15 минут после релиза, Amazon сообщала о попытках за 4 дня до патча, но подтверждённые эксплойты пошли только 25 октября. К этому моменту в рунете на исправленной версии работала лишь пятая часть топ-10 000 сайтов; в той же сводке — eMudhra с 3–8-битными ключами и критический CVE-2026-110264 в GitLab.
habr.com · #security #cve #patch #php #vulnerability
21 октября вышли исправления PHP для веток 8.2–8.5. Анализ 10 000 топ-сайтов рунета показал: 60% работают на PHP, но только 21,9% из тех, кто отдаёт версию, показывают исправленный номер. Хостинги (CloudLinux, Ubuntu) часто латают сборки под старым номером, поэтому по версии на сайте нельзя определить, обновлён ли он. Две трети сайтов сидят на ветках без официальной поддержки — например, PHP 5, который не обновляли с 2018 года.
habr.com · #security #cve #php #security #vulnerability
Автор выложил сайт, предлагающий взломать его и украсть биткоин, используя реальную RCE-уязвимость в PHP, которую он недавно исследовал. Пока неизвестно, удалось ли кому-то успешно применить эксплойт. Детали уязвимости не раскрыты.
stealmybitcoin.com · #security #exploit #php #rce #security #show-hn
Из-за критических уязвимостей в PHP автор срочно обновил около 100 сайтов до 8.5.12. 32 проекта использовали устаревшие mysql_* функции, удалённые в PHP 7.0. Вместо переписывания кода (в одном проекте 400+ вызовов mysql_query) он написал прослойку mysql-tablet.php, эмулирующую старое API, что позволило запустить legacy-код на новой версии без изменений.
habr.com · #security #cve #php #refactoring #security
Автор Tell HN признаёт, что своей публикацией случайно сорвал координированное раскрытие двух PHP RCE — CVE-2026-109618 и CVE-2026-109619. Он пишет, что не хотел побочных эффектов и берёт ответственность на себя, а последствия уже прилетели в расписание disclosure и в чужую рабочую нагрузку.
news.ycombinator.com · #drama #cve #disclosure #php #security
Проект PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, закрывающие CVE-2026-109618 и CVE-2026-109619: неаутентифицированный RCE через повреждение памяти при OOM и через устаревшее глобальное состояние между запросами. Для mod_php есть продемонстрированный эксплойт, срабатывающий до выполнения любого кода приложения. PHP 7.4–8.1 получат только бэкпорты, официальных патчей от проекта им не будет.
lwn.net · #security #cve #patch #php #rce
Cloudflare развернул защиту от CVE-2026-109618 и CVE-2026-109619 (php2shell) по умолчанию для всех WAF-планов, включая Free, начиная с 21 октября 3:02 UTC — примерно за 9 часов до публичного раскрытия. Уязвимости затрагивают PHP 5.4+ и позволяют RCE, DoS и утечку данных. Впервые применена full transaction detection: правила анализируют и запрос, и ответ в рамках одной HTTP-транзакции.
blog.cloudflare.com · #security #cve #php #waf
Команда безопасности PHP предупредила о высокорисковом обновлении, запланированном на 14:00 UTC 21 октября. Всем, кто держит PHP-сайты, настоятельно рекомендуют подготовиться к апгрейду.
lwn.net · #security #cve #php #security