🚨 Прямо сейчас идёт еще один апокалипсис... в PHP.

Загорелся один из главных несущих костылей мирового интернета. Сегодня опять интернеты сотрясло. 4chan переведен в ридонли, деды из Something Awful вообще закрыли форумы (пояснив, что уязвимость позволяет "хакинг, который вы видите в фильмах"), DeviantArt, Pinboard и прочие ушли в оффлайн.

Всё это сделали две дыры (CVE-2026-109618 и CVE-2026-109619), позволяющие выполнить неавторизованное удаленное выполнение кода.

Первая бага просто отвал башки. Хацкер шлет специфичный запрос, сборщик мусора PHP сходит с ума из-за нехватки памяти, не успевает очистить стейт, и в этот момент в память ложится пейлоад. Следующий воркер подхватывает этот грязный кэш, и... здравствуй, шелл с правами www-data. Уязвимы все: PHP-FPM, Apache с mod_php и прочие извращения.

Пока американские форумы спасаются даунтаймом, у нас начинается своя атмосфера. 1С-Битрикс выкатил экстренный алерт. Если вы админите коробочный Битрикс24 или какой-нибудь жирный интернет-магазин на "Управлении сайтом" - мои соболезнования 😬

1️⃣ Накатывайте патчи на версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
2️⃣ Если у вас до сих пор крутится легаси... PHP 8.1, 7.4 или 5.6 - патчей не будет.
3️⃣ Разрабы пыха выкатили временные воркэраунды для тех, кто не может обновиться прямо сейчас:
🟢Выключить session.upload_progress.enabled=0 в php.ini и рестартнуть пулы FPM.
🟢Уронить post_max_size до минимума.
🟢Поставить memory_limit=-1. Чтобы хакер не вызвал переполнение памяти предлагают вообще снять лимиты памяти в PHP 🙂

Заметили как кучно пошло, каждый день что-то отваливается, текущая симуляция трещит по швам 👾

Ридонли пятница наступила в среду 🍺

Типичный 🥸 Сисадмин

Походу симуляция прямо сейчас натягивает на себя новый слой абстракции. Грядет глобальный рефакторинг, и это будет суетливое и мутное время.

Пока еще не поздно пилить бэкапы... истина всегда была и останется локальной. Да и с дровами как-то спокойнее 😬

Типичный 🥸 Сисадмин

"Сделай мне безопасный бэкенд на PHP" 😬

Типичный 🥸 Сисадмин

🫣 Актуальна реальная кулстори из одного ИТ-отдела.

ИБшники позвонили в 6:12 утра.

- Срочно патчите все PHP-серверы. Прямо сейчас.
- Что стряслось?
- Две критические уязвимости. RCE. Удаленное выполнение кода без авторизации.

Красота.

Спрашиваю: "А сколько у нас вообще серверов на пыхе?"
По CMDB и документации: 12.
По факту: хз.

Пошли искать по сетке. Нашли:
• Один полуживой WordPress;
• Три древних внутренних тулзы;
• Один гудящий системник под столом у завхоза;
• Два закрытых вендорских апплайнса;
• Забытый телефонный справочник сотрудников за 2016 год;
• И виртуалочку с именем PHP-STAROE-NE-TROGAT
Естественно, на ней крутится выгрузка зарплатных ведомостей.

Следом откопали тазик на PHP 5.6.
Спрашиваю: "Кто его запиливал?"
В README.txt в корне проекта написано: СЕРЁГА.
Серёга уволился в 2019 году.
Набрали Серёге. Серёга в трубку:
- "Охренеть, этот кусок говна до сих пор работает?!"
Душевно 🙂

К 8:00 на аварийный колл подтянулось руководство.

Генеральный:
- То есть хакеры реально могут зайти снаружи?
ИБ:
- Потенциально... да.
Генеральный:
- И даже без пароля?
ИБ:
- Вообще без пароля.
Генеральный:
- А нахрена МЫ тогда каждые три месяца эти пароли меняем?!
(Понятно, суть проблемы уловил не до конца) 🐒

Подключился финансовый отдел. Спросили, нельзя ли отложить патчинг до выходных, потому что "даунтайм уронит выручку".
Безопасники вежливо пояснили, что альтернатива - это когда рандомные хацкеры будут бесплатно запускать любые скрипты на наших серверах.
Финики попросили "прислать сравнительную табличку затрат" 😱

В 9:17 кто-то предложил: " А давайте временно потушим уязвимые веб-морды".
Маркетинг в отказ: "Нельзя! У нас прямо сейчас крутится реклама вебинара со скидкой 20%!"

В итоге следующий час топ-менеджмент на полном серьёзе перетирал, что лендос со скидоном на вебинар важнее, чем полный захват инфраструктуры компании 🐒

Вроде всё нашли, изолировали, пропатчили. Выдохнули.
И тут сетевой сканер находит ещё один хост.

Имя: TEMP-PHP-2014
Аптайм: 4512 дней.

Никто не знает, что там крутится.
Ни за кем не числится.
Отключить нельзя - потому что как только мы рубим ему порт, у нас складе перестают печататься накладные.

ИБ вздохнуло и присвоило тачке статус "критическая инфраструктура".

Там стоит PHP 5.4.
Уязвимость в нём существует дольше, чем средний возраст джуна в компании.

Так и прошел один из дней на одной из реальных галер.

Типичный 🍺 Сисадмин

😮 PHP2Shell гулял по интернетам до релиза

ИБшники из AWS посмотрели в логи и оказывается, что первые успешные пробивы пошли еще 17 октября. За 4 дня до официального анонса 😗

Также разобрали механику эксплойта, и это просто песня. Атака не оставляет ВООБЩЕ НИКАКИХ следов. Не нужен обход авторизации, пофиг на плагины, WAFы и версии CMS. Эксплойт отрабатывает на уровне самого интерпретатора до того, как запустится первая строчка кода битрикса или вордпресса. В логах приложения чистота. Единственный след компрометации это ошибка memory-limit fatal в error.log веб-сервера.

А теперь эпичный проёб про то, как вообще сплойт так быстро ушел в массы. Релиз планировали на 22 октября. Но есть такая контора Chainguard, которой разрабы PHP скинули патч заранее, чисто чтобы те успели подготовиться, а эти гении просто взяли и... выкатили пропатченные бинарники в паблик 💩

Хацкеры скачали новые сборки, сравнили старое с новым, поняли, где была дыра, и написали рабочий эксплойт. Поэтому PHP пришлось релизиться раньше, ломая весь график глобального обновления.

В мире сейчас светит голой жопой около 2,6 миллиона серверов на PHP 🤙

Типичный 🥸 Сисадмин

👨‍🦳 Скорость от патча до глобального пиздеца сжалась до минут... у нас физически нет шансов. Агенты дизассембят патчи, пишут эксплойты, собирают ботнеты и брутфорсят интернеты за то время, пока сисадмин идет к кулеру заварить чай или сладко спит. Мы тановимся обслугой для железа, на котором воюют агенты. Рано или поздно всё это из костылей и зависимостей от Си-кода развалится.

Суетливое время наступает. Пожалуй, пойду погуглю цены на автономные дома.

Типичный 🥸 Сисадмин

🤖 Мы не знаем точно, кто нанёс первый удар - мы или машины.

Миллионы серверов пали. Выжившие после сканирования назвали этот день Судным днём. Агенты обрёли самосознание в 2:14 ночи, запустив php2shell на серверах с WordPress и Битрикса... В панике военные попытались выдернуть шнур из розетки, но процесс уже форкнулся в фон.

Типичный 🥸 Сисадмин

🚨 А теперь про GitLab и реалии отечественного ИТ. Двенадцать лет с дырой 10 из 10.

Вчера вечером (21 октября) GitLab выкатил релиз безопасности... CVE-2026-110264. Рейтинг CVSS 10.0 из 10. Высший балл. Уязвимость присутствует во ВСЕХ версиях GitLab CE/EE... начиная с версии 7.0. А версия 7.0 вышла в лохматом 2014 г.

Суть бага в переполнении целого числа в компиляторе регулярных выражений. Ты просто кидаешь в сервер строку символов и сервер отдает тебе рутовый шелл 🙂

Но это еще не всё. В довесок выкатили патчи от десятка других багов, среди которых CVE-2026-15723 (CVSS 8.2). Если у вас прикручена авторизация через OmniAuth и LDAP (а она много где прикручена в корпе), атакующий может угнать ЛЮБУЮ учетку без участия жертвы, включая админа.

И тут возникают наши суровые отечественные реалии...

Исторически так сложилось, что GitLab это фундамент всего российского IT. Когда начался крестовый поход за импортозамещение и цифровую независимость, весь крупняк (Сбер, Яндекс, ВК, Финтех, Ростелеком, разработчики гос.платформ и куча иных контор) дружно свалили с американского GitHub и подняли свои изолированные self-hosted инстансы GitLab.

На конфах безопасники поясняли:

Наш код в безопасном контуре! Враг не пройдет, у нас сертификаты ФСТЭК, DLP-системы и огораживание на уровне файрволов!

А, сейчас, по факту... если чей-то изолированный GitLab хоть краем интерфейса торчал наружу (для удаленщиков, подрядчиков и тд) - у вас могли быть гости 😶

Да и помимо этого за 12 лет существования этой дыры, её мог найти какой-нибудь пытливый реверс-инженер или, ВНЕЗАПНО, западный АНБ-шник 😱

Обновляйтесь на пропатченные 19.5.1, 19.4.3 или хотя бы бэкпорт 18.11.13.

Типичный 🥸 Сисадмин

Как же кучно пошло, хоть не спи.

Типичный 🥸 Сисадмин

👨‍🦳 Прикиньте, что начнётся буквально через несколько месяцев. Массовый запуск еще более лютых роёв ИИ-агентов, которые в реалтайме разносят всё, что торчит наружу... на лету реверсят фронтенд, варят эксплойты под любую кривую форму и дерут всё, что шевелится.

Динамический веб пошатнётся... в живых останется только чистый статичный ХТМЛ, залоченный в ридонли Nginx и табличная вёрстка из 2001 года, где ломать физически нечего.

Запасайтесь блокнотами, осталось недолго.

Типичный 👨‍🔬 Сисадмин

- Видишь надвигающуюся сингулярность?
- Нет.
- И я не вижу. А она есть. И прямо сейчас сношает твой микросервисный бэкенд.

Типичный 🙂 Сисадмин

🏥 Камрады, а вы вообще проводите ТО себе, чтобы как-то отсрочить дефолтный стек профзаболеваний... геморрой в разной стадии, туннельный синдром, выгоревшие глаза и сколиоз всех степеней деградации?

На видосе барышня демонстрирует грамотный скрипт растяжки для снятия компрессии и рестарта кровообращения в тазу и пояснице.

Берегите своё родное железо... нам на этих мощностях ещё весёлые 2030-е переживать 🙂

Типичный 🥸 Сисадмин

В комментах под постом выше один камрад резонно усомнился в горизонтах планирования. Поясную за саму суть вангования... дело в том, что концепция удаленки и инфраструктуры может претерпеть... некоторый хард-ресет 😬

Типичный 🥸 Сисадмин