CatNews

Подписчик замутил забавный сайт-тест «Розовые очки» Я создал опросник о России, чтобы можно было проверить, в какой "реальности" человек живет . Типа он думает, что Россия на [данные удалены] месте по экономике, а она на самом деле на [данные удалены] . Это пример негативного восприятия. А, бывает, что человек, наоборот, слишком хорошо думает о стране, но это скорее редкость В общем, бегом проверять

Продолжая день ИТ-кликбейта нельзя не упомянуть другую свежую историю. В PHP нашли критическую уязвимость. Коротенько по сабжу по ссылке, но, если очистить от излишней истерики, то ситуация лютая. Дано: как минимум 2 месяца достаточно широкому кругу лиц была известна лазейка, позволяющая скомпрометировать фактически любой сайт, использующий PHP. А это, действительно, порядка 2\3 интернета. Понятное дело, что это некоторое драматизированное изложение. В идеальном мире есть аудит безопасности, который мог бы обнаружить эксплуатацию этой конкретной PHP2Shell. При этом пока что массовых жалоб на какие-то таинственные взломы не было. Но это в идеальном мире. Во-первых, аудит работает не у всех и, даже, если работает — не всегда его события мониторятся (видел своими глазами, как почти год в одном небольшом сервисе администратора спамило сообщениями об очевидном взломе, которые он тупо игнорил) Во-вторых, судя по всему, PHP2Shell позволяет не только выполнять команды, но и читать содержимое памяти PHP-процесса, а это означает, потенциальную возможность извлекать токены, пароли и другие секреты. Насколько хорошо детектируется подобное — вопрос интересный и лично я ответа на него не знаю. AWS обнаружила попытки эксплуатации PHP2Shell ещё 17 октября 2026 года, за четыре дня до официальной публикации уязвимостей, но из отчета не следует, что именно они увидели. Т.е. риск того, что этой уязвимостью нулевого дня уже кто-то незаметно воспользовался, мягко говоря, ненулевой. Ну и, самое стрёмное, это то, что далеко не все вовремя устанавливает обновления (или в принципе устанавливают их). До сих пор чуть ли не треть серверов используют PHP старше версии 8.1 (которые в принципе уже не поддерживается, не обновляется и вообще дырявый, как решето). Сколько из оставшихся регулярно обновляются — загадка великая есть. По моему личному опыту далеко не все крупные компании оперативно обновляют всё своё ПО, а уж о малом бизнесе или личных сайтах и говорить нечего. Тут, правда, есть другой, уже позитивный нюанс: хостинг-провайдеры могут принудительно обновить PHP для всех клиентов, даже без их согласия. Но на практике всё зависит от конкретного хостинга и того, насколько сильно обновление может нарушить работу сайтов (а тут тоже есть всякие весёлые риски). Короче, неделька весьма суматошная вышла и дальше может стать сильно хуже. В условиях того, что сейчас различные нейросети ударно трудятся по созданию всё новых и новых эксплойтов, это явно не последний случай, когда будет найдена подобная критическая уязвимость в каком-нибудь массово используемом ПО. Так-то их и до этого находили регулярно, в ручном режиме, но автоматизация процесса позволяет значительно увеличить КПД специалистов по пентесту. Что не может не беспокоить, особенно на фоне офигительных историй про индусов, шифрующих свои сертификаты однозначными паролями.

На всякий случай, отдельно пропишу совсем на пальцах. Удостоверяющие Центры — это такой оплот стабильности в интернете, вокруг которых строится вся система. Они отвечают за то, что сайт Х однозначно сопоставляется с доменом и вы, перейдя по ссылке, оказываетесь там, где надо. При этом "доверие" распространяется на все ключевые удостоверяющие центры, т.е. российский\американский\арабский браузер\приложение будут доверять сертификату, который выпустила индийская eMudhra. И, если в браузерах и операционных системах есть функция обновления\отзыва сертификатов, то во многих других приложениях, особенно в умных устройствах и серверных утилитах, список доверенных сертификатов ЗАФИКСИРОВАН. Т.е. если вы сейчас попробуете в Chrome зайти на проблемный сайт, вас не пустит, т.к. сертификат уже пометили, как ненадёжный. Но вот ваша условная умная кофемолка туда спокойно зайдет и скачает обновление, которое превратит её в робота убийцу (ну или часть ботнета). Тут важно отметить, что чтобы это произошло, злоумышленник должен получить контроль над вашим траффиком. Как? Ну, например, он может взломать ваш роутер через одну из многих сотен уязвимостей (какой процент пользователей обновляет регулярно прошивки своих устройств? 1%? 0.5%?). Или же вы от большого ума подключитесь к общедоступному вайфаю, который окажется фишинговой сетью. Короче, пока нет свидетельств того, что уязвимость активно эксплуатируется. Более того, она всё-таки требует достаточно специфичных условий для эксплуатации. Но проблема в том, что скомпрометированным оказался ключевой элемент всей интернет-инфраструктуры. Это очень тревожный звоночек, показывающий всю хрупкость окружающей нас цифровой экосистемы.

Если в вашей ленте начали мелькать мемы про число 4, а вы не в курсе о чём вообще речь, то ловите эпическую историю про индусов, информационную безопасность, слабоумие и отвагу. Контекст: сертификаты индийского удостоверяющего центра eMudhra были скомпрометированы по причине «админ — индус». На всякий случай поясню для тех, кто не в курсе. Удостоверяющий центр (CA) — организация, которой доверяют браузеры. Она проверяет право на использование домена и выдаёт цифровой сертификат, подтверждающий, что условный банк.ру - это реально сайт банка. У владельца цифрового сертификата есть два математически связанных ключа: 1) Приватный (закрытый) ключ. Его секрет известен только владельцу и с его помощью можно ставить цифровую подпись, которую невозможно подделать, не зная ключа. 2) Публичный (открытый) ключ — доступен всем желающим. Он позволяет проверить, что подпись действительно была создана соответствующим приватным ключом. В нормальных условиях приватный ключ — огромное случайное число длиной до 384 бит. Это примерно 10^115 возможных вариантов, поэтому «подобрать» правильный почти невозможно. На сложности этой задачи фактически и строится весь современный интернет, точнее безопасность в нём. Тогда как же злобные хакеры смогли взломать индусский Удостоверяющий Центр? Они построили квантовый компьютер, который смог перебрать все варианты за разумное время? В алгоритме шифрования, которым пользуется весь мир уже не один десяток лет, нашли уязвимость? ЛУЧШЕ. Приватные ключи восьми промежуточных удостоверяющих-сертификатов оказались настолько надёжными, что их смогли восстановить буквально за доли секунды. Вместо случайных 384-битных чисел там использовались 4, 56, 66, 115, 155, 156, 230 и 237. Да, один из приватных ключей удостоверяющего центра, которому доверяли крупнейшие браузеры мира, — буквально 4. Не 4 с ещё сотней цифр. Просто 4. Получив эти ключи можно было подделывать сертификаты HTTPS для произвольных сайтов, пока доверие к скомпрометированным CA не было заблокировано. При этом восемь практически общедоступных ключей существовали с апреля 2025 года, а проблему обнаружили лишь в октябре 2026-го. Индусы оправдываются, мол, ошибка в скрипте создала слабые ключи, а сотрудники решили, что так и надо, поэтому использовали их вместо правильных. В целом, учитывая мой опыт взаимодействия с индийским ИТ — вполне себе верю. У ребят критическое мышление порой напрочь отключается, когда кто-то авторитетный им что-то говорит. При этом под «авторитетный» подходит +- кто угодно, от рабочего скрипта, навайбкоженного за 5 минут, но представленного руководителем, как рабочий инструмент, до сотрудника службы поддержки вендора (порой такого же индуса, но с ещё меньшей квалификацией). Я неоднократно слышал кулстори, как особенно одарённые сотрудники поддержки продуктов убеждали клиента выстрелить себе в ногу и тот, даже будучи в целом вменяемым, соглашался (ну он же работает в компании Х — он знает, что делает на самом деле нет, он не знает). Но вернёмся к самой истории. Казалось бы, Google, Mozilla, Apple и Microsoft уже экстренно отозвали доверие к проблемным сертификатам, вот только это вообще не решает проблему, потому что опасность сохраняется для программ, серверов и устройств, которые не проверяют, был ли сертификат отозван. Это приложения, платёжные системы, умная техника, роутеры и даже автомобили. Некоторые устройства с устаревшей прошивкой могут оставаться уязвимыми вплоть до 2039 года — пока не истекут сроки действия скомпрометированных сертификатов. Что делать обычному человеку? По возможности обновить операционную систему, браузер, приложения и прошивки устройств. Но, скорее всего, уязвимость сохраниться "под капотом", особенно для всяких бытовых устройств и старых серверных приложений. Справедливости ради, злоумышленнику надо ещё перехватить ваш траффик, чтобы реализовать атаку. И это ещё один повод не подключаться к непонятным бесплатным вайфаям...

Помпончик, он же обрез/отморозок. Был найден на улице замерзшим, отогрет, накормлен, напоен, любим. Прожил определённо более счастливую жизнь, чем мог бы, но, к сожалению, прямо в новый год умер( #ВМиреЖивотных

админ с детства за Бен-Салмана (в вопросе нарративов в компьютерных играх, товарищ хусит)!

⚡️EA закрывает BioWare 400 сотрудников студии уволили. Новая Mass Effect отменена. BioWare была основана в 1995 году и внесла огромный вклад в развитие жанра RPG такими играми, как Baldur’s Gate, Neverwinter Nights, KOTOR и Dragon Age. Капитан Шепард, они всё проебали. В общем, ушла эпоха, спасибо за счастливое детство. 📱TG |✍️Предложить пост | 📱ВК |🪙Поддержать

Нетаньяху: «Иран снова пытается разработать бомбы смерти. Моджтаба Хаменеи решил пойти по стопам своего отца, и он снял оружие с предохранителя». Знаете, на месте Израиля и, в целом, мирового сообщества, я бы куда сильнее напрягся, если бы персы начали клепать «бомбы жизни»... Всё-таки зомби-апокалипсис в 2026-ом будет уже слегка чересчур...

Эркюль. Грустнейший и мудрейший представитель собачества. Его задумчивый взгляд никогда не оставлял сомнения в его глубокой интеллектуальности. Очень любил корочки от пиццы и чесание жёппы. Однажды курящая сотрудница наливайки спросила, как его зовут, я ответил, что "Эркюль". А она сказала "Что, татарин что-ли?". #ВМиреЖивотных

#НамПишут Хотел добавить комментарий к новости про парня из Принстона, но комментарии там закрыты. Если вы откроете его метрики в Google Scholar, то, думаю, станет понятно, почему его не берут. У него две статьи и h-index 2. Для Ph.D. в естественных науках (физика, химия) хороший, уверенный кандидат после защиты обычно имеет 5-8 статей и h-index около 5–6. У математиков 1-2 статьи после Ph.D. - это уже хорошо. За социальные науки не могу сказать. Если посмотреть на его статьи, то одна из них действительно опубликована в хорошем журнале - PNAS (иногда его в шутку расшифровывают как “Papers Not Accepted to Science”, но, тем не менее, у журнала высокий impact factor). Однако он в этой статье ни первый автор, ни equal contributor. Думаю, это и есть основная проблема.

Вижу, что и в русскоязычном сегменте интернета начала вируситься история парня с PhD из Принстона, который уже два года не может найти работу. Комментарии самые разные: от «Вот дурачок, плохо ищет» до «Как же так вообще получилось?». Добавлю немного от себя как человека, работающего в этой вашей науке. За последние три года я дважды попадал под сокращение. Каждый раз поиск новой работы занимал около 5–6 месяцев. Причем в обоих случаях устроиться на новую позицию мне помогали скорее профессиональные связи, чем непосредственно мои компетенции и опыт. Если сильно упростить, на рынке одновременно сошлось несколько факторов: сокращение государственного финансирования научных исследований, нежелание частного капитала вкладываться в рискованные проекты и общее охлаждение биотехнологической отрасли после нескольких лет бурного роста. Чтобы было понятнее, насколько серьезная ситуация: в Бостоне, одном из крупнейших мировых центров биотехнологий, доля пустующих лабораторных помещений доходила почти до 40%. Еще несколько лет назад найти здесь свободную лабораторию было серьезной проблемой. Поэтому история выпускника Принстона меня совершенно не удивляет. Можно иметь хорошее образование, научные публикации и опыт работы, но все равно месяцами искать новую позицию. Проблема далеко не всегда в квалификации конкретного человека. О том, что сейчас происходит на рынке труда среди ученых, напишу отдельно. Там есть о чем поговорить. https://www.wsj.com/lifestyle/careers/labor-market-freeze-phd-graduate-f8e17d7c

Есть женщины в русских селеньях (по крайней мере в Кемеровской области)! Старшая участковая Стельмакова за одно дежурство завалила из автомата аж двух медведей, терроризировавших местных жителей. Подробности в репортаже Как-то даже стыдно ныть о своих рабочих сложностях на фоне такого веселья... #ночь

Хохлы так ие извинились перед корейцами. Шансы на санкции уже приобретают осязаемые очертания... «После того как посол на Украине был отозван — шаг, на который украинская сторона не отреагировала,— а также ввиду сохраняющейся по всей стране угрозы авиаударов, из-за чего становится трудно обеспечить безопасность персонала, правительство приняло решение отозвать часть сотрудников дипломатической миссии», — сообщил официальный представитель министерства Пак Ду Сун.

Две попрошайки Присылайте фото своих домашних и не очень животных с коротким комментарием в лс канала, если хотите, чтобы весь канал умилился вместе с вами! #ВМиреЖивотных

Время Беглова закончится

Просьба придумать имя. Наша Пулька окотилась. Так имя и не придумали 😭 \\примечание админа: учитывая, что с момента попадания этой фотки в предложку прошло 7.5 месяцев, можете уже начинать придумывать имена для Пулькиных внуков #ВМиреЖивотных

Тем временем, некоторые отечественные блогеры пишут о том, что датацентры ВК, якобы, были надежно прикрыты от ударов некими ограждениями и поэтому "потерь нет". Тут 2 проблемы. Во-первых, на снимках от хохлов подобных ограждений нет (да, хохлы могут пиздеть, но все же). Во-вторых, существенная часть сервисов ВК недоступна, что как бы плохо коррелирует с тезисом про "защитились". А вот это уже факт - не работает лента, проблемы с загрузками медиа. Но мессенджер живой. Короче, то ли заграждения не помогли, то ли это все целиком справлялово от пиар-службы ВК.

#нам_пишут Реакция на атаки яндекса и сбера: 😭😭😭😭 Реакция на атаки вк: 😎😎😎🤣🤣🤣 Почему так? Петербуржцам желаю сил и терпения. Надеюсь, ни у кого ничего из техники ночью не сгорело, а то, говорят, перепады напряжения были лютыми даже в центре. //контекст: Питер подвергся мощнейшей атаке бпла за время войны. Есть прилеты по объектам инфраструктуры, складам, датацентру ВК и жилым домам

Дорогие россияне, сохраняйте бдительность! Вражеские голоса разгоняют слух о том, что с храма Спаса на Крови сняли леса. И сразу же вспоминают легенду о том, что окончание реставрации этого знаменательного памятника традиционно несёт нашей стране потрясения. Ранее леса снимали в 1990 году (распад СССР) и в марте 2022го. Но не бойтесь и не спешите бежать за гречкой! Пока у власти самый эффективный губернатор всех времён и народов, геополитическая стабильность под контролем! Западная сторона храма, где находится сень над местом покушения на Александра II, всё ещё в лесах и пробудет в таком состоянии минимум до конца года (а к тому моменту, мб ещё что-то потребует реставрации). Короче, не переживайте, пока распад Российской Федерации не ожидается! Но, вообще, конечно, надо бы проверить господина Розенбаума, а то он ещё в 86ом пел “Мечтаю снять леса со Спаса на Крови". Явно неспроста... Сами понимаете - это же очевидно, кому это выгодно... Если же серьёзно, то я видел Спас без лесов чуть ли не единственный раз в жизни и тогда же побывал внутри, правда тогда уже внутри шла реконструкция (которая уже почти 30 лет идет). В общем, если его закончат наконец-то ремонтировать, то можно будет сказать, что ушла эпоха (ну и сгонять за гречкой-сахаром, на всякий пожарный) #ночь легендарная

#ночь инфраструктурная