Пока вчера многие превентивно гасили свои сайты, не все ещё заметили, кажется, что у ПХП случился свой Log4Shell. Две RCE без авторизации прямо в ядре интерпретатора, CVE-2026-109618 и CVE-2026-109619, по 9.2 по CVSS, пролежали в коде больше десяти лет, а нашли их с помощью жпт-5.6 Sol и Wiz. Детали утекли за день, так что атаки пошли раньше патча.
Под раздачей примерно более половины веба, и обновление известных CMS не спасает.
Обновлять нужно сам PHP до 8.2.35, 8.3.36, 8.4.27 или 8.5.12, а тем, кто до сих пор сидит на семерке или пятерке, остается только посочувствовать.
И да, после обновления стоит проверить, не поселился ли у вас уже веб-шелл. Главный вывод не про PHP, а про то, что окно между находкой и массовой эксплуатацией теперь измеряется часами, и OpenAI прямо сказали, что таких историй в ближайшие месяцы станет сильно больше.
Дали с коллегами комментарий в РБК под вечер и чай.
1️⃣ Чипсина Pringles имеет форму гиперболического параболоида.
2️⃣ Похожую форму электрический потенциал в ионной ловушке
3️⃣ Заказал большую чипсину из фанеры