Как одна строка в PHP открывает путь к обходу авторизации

Одна строка в PHP может выглядеть безобидно, но полностью изменить логику авторизации. Нестрогое сравнение автоматически приводит типы, поэтому разные значения иногда неожиданно оказываются равными. Особенно опасно, когда через == проверяют пароли, токены, HMAC или результаты хеширования.

В новой статье разбираем PHP Type Juggling на понятных примерах. Показываем, чем == отличается от ===, как работают magic hash вида 0e..., почему массив вместо строки способен сломать проверку в старых версиях PHP и какие конструкции стоит искать во время аудита приложения. В конце собрали практические способы защиты с hash_equals(), строгим сравнением и обязательной проверкой типов.

Закрепить тему можно на задаче «У Джамшута» в ONE TASK. Она доступна участникам бесплатного курса «Профессия Белый Хакер» и позволяет пройти весь путь самостоятельно, от анализа кода и проверки гипотезы до эксплуатации логической ошибки.

#PHP #Кибербезопасность #Пентест
@SecLabNews

Самая долгая DDoS-атака длилась более 7 дней
Смотрим актуальную сводку о киберугрозах за первое полугодие 2026

Главные выводы из отчета Selectel:

❗️Количество атак выросло почти в полтора раза, а их продолжительность уже достигла уровня всего прошлого года. Общее число DDoS-атак с января по июнь 2026 — 88 618. Суммарная продолжительность составила 22 101 час.

❗️Мощность атак выросла в несколько раз. Максимальный объем достиг 870 Гбит/с (+327% год к году), а максимальная скорость — 369 млн пакетов в секунду (+269% год к году).

❗️Структура DDoS-атак стала более разнообразной: доля самых распространенных типов TCP SYN Flood и TCP PSH/ACK Flood снизилась. Злоумышленники начали все чаще использовать разные техники и комбинировать несколько методов воздействия.

Еще больше цифр и инсайтов об изменениях сценариев атак и способах защиты читайте в полной версии отчета.

Реклама. АО "Селектел". erid:2W5zFGw2Mrq

🚔16 разведок НАТО объединились, чтобы массово пожаловаться на русскоязычных хакеров

Разведки 16 стран дружно собрались в кружок и выкатили панический отчёт. Дескать, суровые парни из Laundry Bear обнесли целую россыпь оборонных предприятий, госучреждений и IT-компаний. Самое смешное в этой истории связано с вектором атаки. Хакеры нашли уязвимость нулевого дня CVE-2025-66376 в почтовике Zimbra. Жертве было достаточно зайти в веб-клиент и открыть письмо. Никаких кликов по подозрительным ссылкам или скачивания архивов с вирусами. Вредоносный JS-скрипт ZimReaper запускался прямо в браузере, незаметно выгребал переписку за три месяца, похищал коды 2FA и вытягивал пароли через скрытые формы автозаполнения.

Западные эксперты усердно делают вид, будто столкнулись с инопланетными технологиями, хотя годами сами игнорировали базовую цифровую гигиену. ЦРУ и CISA обвиняют хакеров в применении нейросетей, поскольку в коде управляющего сервера Flowerbed нашли следы генеративного ИИ. Смех смехом, но злоумышленники просто взяли бесплатный ИИ-инструмент и собрали на коленке систему, которая нагнула оборонку половины НАТО. Docker-контейнеры, прокси через Cloudflare, маскировка под пиксельные картинки, всё дёшево, сердито и максимально эффективно.

Паника отлично показывает главный системный провал современной ИБ. Заказывать дорогие аудиты и покупать монструозные EDR-системы научились все, а вовремя установить патч на локальный почтовый сервер по-прежнему считается задачей космической сложности. Администраторы проигнорировали обновления, опубликованные ещё в ноябре прошлого года, и в итоге подарили азиатским и славянским группировкам полный доступ к корпоративным тайнам. Если на предприятии до сих пор работает старая Zimbra (или импортозамещённый сервер на её основе), отключайте веб-интерфейс прямо сейчас, очищайте localStorage и меняйте пароли, пока западные спецслужбы пишут очередной слезливый отчёт.

#Zimbra, #LaundryBear, #Кибербезопасность @SecLabNews