Телеграм канал «CatNews»

Сюда чаще котиков кидают, но у меня вот такая девочка Рики. Дома мы все нежно зовем её курочкой. Многие могут подумать, что с попугаями дома скучно, но это не так. Птицы очень эмоциональны и способны привязываться: дома у неё есть любимые члены семьи и не очень, она любит играть в прятки и кидать еду когда она ей не нравится.
А когда она слышит любимых, то пытается вылететь из комнаты, чтобы её весь вечер «чухали» за ушком.

#ВМиреЖивотных

КАДИЯ СТОИТ! КОТЁНОК СТОИТ! ЦБ СТОИТ! ХАЗИНЩИНА НЕ ПРОЙДЁТ!

Вообще, конечно, железные люди, не прогибающиеся под таким давлением со всех сторон, от общественности, до публичных заявлений президента...

А мы к вам с новостями брендинга: команда по американскому футболу Atlanta Falcons обновила дизайн на что-то до боли знакомое

@localcrew

#ночь посвящённая сегодняшнему внеплановому ИБ-дню.

Контекст: свежие уязвимости, которые еще не закрыты патчами, называются 0 day (zero day)

Подписчик замутил забавный сайт-тест «Розовые очки»

Я создал опросник о России, чтобы можно было проверить, в какой "реальности" человек живет .
Типа он думает, что Россия на [данные удалены] месте по экономике, а она на самом деле на [данные удалены] . Это пример негативного восприятия. А, бывает, что человек, наоборот, слишком хорошо думает о стране, но это скорее редкость
В общем, бегом проверять

Продолжая день ИТ-кликбейта нельзя не упомянуть другую свежую историю. В PHP нашли критическую уязвимость. Коротенько по сабжу по ссылке, но, если очистить от излишней истерики, то ситуация лютая.

Дано: как минимум 2 месяца достаточно широкому кругу лиц была известна лазейка, позволяющая скомпрометировать фактически любой сайт, использующий PHP. А это, действительно, порядка 2\3 интернета.

Понятное дело, что это некоторое драматизированное изложение. В идеальном мире есть аудит безопасности, который мог бы обнаружить эксплуатацию этой конкретной PHP2Shell. При этом пока что массовых жалоб на какие-то таинственные взломы не было. Но это в идеальном мире.

Во-первых, аудит работает не у всех и, даже, если работает — не всегда его события мониторятся (видел своими глазами, как почти год в одном небольшом сервисе администратора спамило сообщениями об очевидном взломе, которые он тупо игнорил)

Во-вторых, судя по всему, PHP2Shell позволяет не только выполнять команды, но и читать содержимое памяти PHP-процесса, а это означает, потенциальную возможность извлекать токены, пароли и другие секреты. Насколько хорошо детектируется подобное — вопрос интересный и лично я ответа на него не знаю. AWS обнаружила попытки эксплуатации PHP2Shell ещё 17 октября 2026 года, за четыре дня до официальной публикации уязвимостей, но из отчета не следует, что именно они увидели.

Т.е. риск того, что этой уязвимостью нулевого дня уже кто-то незаметно воспользовался, мягко говоря, ненулевой.

Ну и, самое стрёмное, это то, что далеко не все вовремя устанавливает обновления (или в принципе устанавливают их). До сих пор чуть ли не треть серверов используют PHP старше версии 8.1 (которые в принципе уже не поддерживается, не обновляется и вообще дырявый, как решето). Сколько из оставшихся регулярно обновляются — загадка великая есть. По моему личному опыту далеко не все крупные компании оперативно обновляют всё своё ПО, а уж о малом бизнесе или личных сайтах и говорить нечего.

Тут, правда, есть другой, уже позитивный нюанс: хостинг-провайдеры могут принудительно обновить PHP для всех клиентов, даже без их согласия. Но на практике всё зависит от конкретного хостинга и того, насколько сильно обновление может нарушить работу сайтов (а тут тоже есть всякие весёлые риски).

Короче, неделька весьма суматошная вышла и дальше может стать сильно хуже. В условиях того, что сейчас различные нейросети ударно трудятся по созданию всё новых и новых эксплойтов, это явно не последний случай, когда будет найдена подобная критическая уязвимость в каком-нибудь массово используемом ПО.

Так-то их и до этого находили регулярно, в ручном режиме, но автоматизация процесса позволяет значительно увеличить КПД специалистов по пентесту. Что не может не беспокоить, особенно на фоне офигительных историй про индусов, шифрующих свои сертификаты однозначными паролями.

На всякий случай, отдельно пропишу совсем на пальцах.

Удостоверяющие Центры — это такой оплот стабильности в интернете, вокруг которых строится вся система. Они отвечают за то, что сайт Х однозначно сопоставляется с доменом и вы, перейдя по ссылке, оказываетесь там, где надо.

При этом "доверие" распространяется на все ключевые удостоверяющие центры, т.е. российский\американский\арабский браузер\приложение будут доверять сертификату, который выпустила индийская eMudhra.

И, если в браузерах и операционных системах есть функция обновления\отзыва сертификатов, то во многих других приложениях, особенно в умных устройствах и серверных утилитах, список доверенных сертификатов ЗАФИКСИРОВАН. Т.е. если вы сейчас попробуете в Chrome зайти на проблемный сайт, вас не пустит, т.к. сертификат уже пометили, как ненадёжный. Но вот ваша условная умная кофемолка туда спокойно зайдет и скачает обновление, которое превратит её в робота убийцу (ну или часть ботнета).

Тут важно отметить, что чтобы это произошло, злоумышленник должен получить контроль над вашим траффиком. Как? Ну, например, он может взломать ваш роутер через одну из многих сотен уязвимостей (какой процент пользователей обновляет регулярно прошивки своих устройств? 1%? 0.5%?). Или же вы от большого ума подключитесь к общедоступному вайфаю, который окажется фишинговой сетью.

Короче, пока нет свидетельств того, что уязвимость активно эксплуатируется. Более того, она всё-таки требует достаточно специфичных условий для эксплуатации. Но проблема в том, что скомпрометированным оказался ключевой элемент всей интернет-инфраструктуры. Это очень тревожный звоночек, показывающий всю хрупкость окружающей нас цифровой экосистемы.