Телеграм канал «vn code»

Вдогонку к новости про критические уязвимости в PHP — OpenAI выкатила официальный скилл для своих агентов под названием php2shell-checker.

Работает всё предельно просто: даёте нейросети URL вашего сайта, а скилл сам сканирует сервер на наличие этих свежих RCE, проверяет конфигурацию и, если находит уязвимость, сразу предлагает фикс.

Скилл здесь

Критические RCE в PHP: срочно обновляемся 🚨

Выкатили экстренные обновления PHP. Нашли сразу две критические уязвимости. Риск максимальный для mod_php — хакер может пробить сервер обычным HTTP-запросом ещё до того, как начнёт исполняться код вашего приложения.
Что эти дыры позволяют сделать хакерам?
Сбой очистки памяти (CVE-2026-109618): Злоумышленник может искусственно вызвать ошибку нехватки памяти (OOM) во время инициализации запроса. Из-за бага обработчик очистки начнёт считать повреждённые данные валидными, что приводит к выполнению стороннего кода с правами веб-сервера.
Захват чужих воркеров (CVE-2026-109619): Атакующий может «отравить» внутреннее состояние процесса, которое не очищается после освобождения памяти. Следующий запрос, попавший в этот же воркер, подхватит устаревшее состояние до инициализации, давая хакеру контроль над исполнением.
Как защититься?
Обновиться: PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 (минимальные патчи выпустили даже для старых 7.4, 8.0 и 8.1).
Временный mitigation: Поставить memory_limit=-1, ограничить post_max_size (8M / 32M), отключить session.upload_progress.enabled=0 и на PHP 8.5 fatal_error_backtraces=0 с перезапуском всех воркеров.
Учитывая, что порядка 70% интернета использует PHP, вообще непонятно, как владельцы сайтов будут латать эту дыру. Думаю, большинство вообще ничего делать не станет — вся надежда только на то, что хостинг-провайдеры сами тихо обновят инфраструктуру.
Читать официальный пост

Подписывайтесь на мой TG канал

Переписывание TypeScript уже превратилось в какой-то бесконечный мем.

Сначала была многострадальная миграция на Go (tsgo). Потом Theo потратил $500 000 на ИИ, чтобы переписать всё это дело на Rust (ts-rust).

А теперь команда Vercel Labs сделала финт ушами: они портировали TypeScript обратно на TypeScript! Но с подвохом — теперь он компилируется их фирменным компилятором scriptc. И, судя по тестам, эта версия (tsc-ts) работает в 2–4 раза быстрее, чем на Go 🤯

Круговорот технологий в природе завершился, но в комментариях уже предлагают гениальное: «А представьте, насколько быстро всё это полетит, если теперь tsc-ts переписать на Go!» 😭

Читать твит

Подписывайтесь на мой TG канал