🤖 Мы не знаем точно, кто нанёс первый удар - мы или машины.

Миллионы серверов пали. Выжившие после сканирования назвали этот день Судным днём. Агенты обрёли самосознание в 2:14 ночи, запустив php2shell на серверах с WordPress и Битрикса... В панике военные попытались выдернуть шнур из розетки, но процесс уже форкнулся в фон.

Типичный 🥸 Сисадмин

🚨 А теперь про GitLab и реалии отечественного ИТ. Двенадцать лет с дырой 10 из 10.

Вчера вечером (21 октября) GitLab выкатил релиз безопасности... CVE-2026-110264. Рейтинг CVSS 10.0 из 10. Высший балл. Уязвимость присутствует во ВСЕХ версиях GitLab CE/EE... начиная с версии 7.0. А версия 7.0 вышла в лохматом 2014 г.

Суть бага в переполнении целого числа в компиляторе регулярных выражений. Ты просто кидаешь в сервер строку символов и сервер отдает тебе рутовый шелл 🙂

Но это еще не всё. В довесок выкатили патчи от десятка других багов, среди которых CVE-2026-15723 (CVSS 8.2). Если у вас прикручена авторизация через OmniAuth и LDAP (а она много где прикручена в корпе), атакующий может угнать ЛЮБУЮ учетку без участия жертвы, включая админа.

И тут возникают наши суровые отечественные реалии...

Исторически так сложилось, что GitLab это фундамент всего российского IT. Когда начался крестовый поход за импортозамещение и цифровую независимость, весь крупняк (Сбер, Яндекс, ВК, Финтех, Ростелеком, разработчики гос.платформ и куча иных контор) дружно свалили с американского GitHub и подняли свои изолированные self-hosted инстансы GitLab.

На конфах безопасники поясняли:

Наш код в безопасном контуре! Враг не пройдет, у нас сертификаты ФСТЭК, DLP-системы и огораживание на уровне файрволов!

А, сейчас, по факту... если чей-то изолированный GitLab хоть краем интерфейса торчал наружу (для удаленщиков, подрядчиков и тд) - у вас могли быть гости 😶

Да и помимо этого за 12 лет существования этой дыры, её мог найти какой-нибудь пытливый реверс-инженер или, ВНЕЗАПНО, западный АНБ-шник 😱

Обновляйтесь на пропатченные 19.5.1, 19.4.3 или хотя бы бэкпорт 18.11.13.

Типичный 🥸 Сисадмин

Как же кучно пошло, хоть не спи.

Типичный 🥸 Сисадмин

👨‍🦳 Прикиньте, что начнётся буквально через несколько месяцев. Массовый запуск еще более лютых роёв ИИ-агентов, которые в реалтайме разносят всё, что торчит наружу... на лету реверсят фронтенд, варят эксплойты под любую кривую форму и дерут всё, что шевелится.

Динамический веб пошатнётся... в живых останется только чистый статичный ХТМЛ, залоченный в ридонли Nginx и табличная вёрстка из 2001 года, где ломать физически нечего.

Запасайтесь блокнотами, осталось недолго.

Типичный 👨‍🔬 Сисадмин

- Видишь надвигающуюся сингулярность?
- Нет.
- И я не вижу. А она есть. И прямо сейчас сношает твой микросервисный бэкенд.

Типичный 🙂 Сисадмин

🏥 Камрады, а вы вообще проводите ТО себе, чтобы как-то отсрочить дефолтный стек профзаболеваний... геморрой в разной стадии, туннельный синдром, выгоревшие глаза и сколиоз всех степеней деградации?

На видосе барышня демонстрирует грамотный скрипт растяжки для снятия компрессии и рестарта кровообращения в тазу и пояснице.

Берегите своё родное железо... нам на этих мощностях ещё весёлые 2030-е переживать 🙂

Типичный 🥸 Сисадмин

В комментах под постом выше один камрад резонно усомнился в горизонтах планирования. Поясную за саму суть вангования... дело в том, что концепция удаленки и инфраструктуры может претерпеть... некоторый хард-ресет 😬

Типичный 🥸 Сисадмин

🥴 Когда твой приватный ключ равен 4. Эпичнейший факап в истории мировой криптографии.

Эта история заслуживает отдельного памятника в палате мер и весов кибербеза.
Знакомьтесь... eMudhra. Индийский авторизованный удостоверяющий центр (CA). Они выпустили более 60 миллионов сертификатов и обслуживали 10 из 10 топовых банков Индии (так было написано у них на сайте).

На днях независимый исследователь (ник Wayne) по непонятным причинам натравил гугловскую опенсорсную тулзу paranoid_crypto на публичную базу сертификатов CCADB. И тулза выдала эпичный резльтат.

В норме приватный ключ для криптографии на эллиптических кривых P-384... это 384 бита энтропии. Это лютое число длиной в 116 цифр. На подбор такого ключа брутфорсом уйдут миллиарды лет работы всех компьютеров.

А теперь внимание. У восьми промежуточных сертификатов eMudhra приватные ключи оказались равны: 56, 66, 115, 155, 156, 230, 237 и... 4😘.
Четыре, блеать! Просто цифра 4. Размер ключа от 3 до 8 бит. Любой мог сбрутить эти ключи на калькуляторе электроника меньше чем за секунду.

Чтобы доказать масштаб пиздеца, Wayne просто взял и подписал сообщение "We have a problem here - Wayne" приватным ключом этого сертификата, после чего отправил пруфы в Apple, Google, Microsoft и Mozilla.

Более того, два из восьми ключей были для Code Signing. То есть можно было подписывать любые виндовс-трояны, и дефендер пропускал бы их как обычный надёжный софт.

В eMudhra пояснили... по их словам, в апреле 2025 года во время генерации ключей кто-то запустил модифицированный скрипт, который сглючил на этапе wrap/unwrap и выдал в ответ мусорные короткие ключи. А оператор просто взял их и зашил в боевые сертификаты 😬. И эти сертификаты полтора года лежали в паблике!

Браузеры уже удалили эти корневые серты из доверенных. А eMudhra вчера решила полностью уйти с глобального рынка сертификатов. Сгорел сарай - гори и хата.

Но есть нюанс - кучи контейнеров, IoT-девайсов, всяких API-шлюзов и тд... они клали болт на проверку списков отзыва и прямо сейчас продолжают доверять ключу с цифрой 4.

Типичный 🥸 Сисадмин

Неплохой аптайм

З.Ы. LeoNTP Networked Time NTP Server

Типичный 🥸 Сисадмин