Гостев из будущего

Лучшее саммари прошедшего дня Утащил и перевел Короче, сегодня в PHP нашли два критических бага, которые позволяют кому угодно запускать код на вашем сервере, даже не логинясь, что плохо, а потом детали утекли ещё до выхода патча, что ещё хуже, и это работает на WordPress, и MediaWiki, и Magento, и Joomla, и Laravel, и Censys говорит, что примерно 1,5 миллиона серверов работают на версии, для которой фикса нет, так что АНБ такое: «отключайте систему», и ФБР такое: «отключайте систему», и CISA, и Великобритания, и CERT-EU все такие: «отключайте систему», а потом премьер-министр Японии, настоящий премьер-министр, в 5:55 утра написала пост, призывающий 48,8 миллиона человек отключить свои системы, ну и все отключили свои системы, типа голландское агентство по кибербезопасности отключило собственный сайт, и нидерландский парламент ушёл в офлайн, и порт Роттердама ушёл в офлайн, и Финляндия, и Франция, и Дания начали снимать правительственные сайты, и Википедия легла, и Archive org лёг, и Asana, и GOG, и Something Awful легли, и почему-то легла веб-почта Венского университета, и это только PHP. Потому что GitLab ещё выкатил CVSS 10.0, а это высшая оценка, которую вообще ставят, за баг, который сидел там с 2014 года, то есть это каждый self-hosted GitLab за двенадцать лет, а потом LiteLLM 1.107.0 угнали, и он раздавал стилер учёток и троян удалённого доступа в каждом wheel-пакете и в Docker-образах, включая latest, и его даже не нужно было импортировать, достаточно было просто установить, и это уже второй раз за год, а потом Railway приостановил все деплои на всей платформе, потому что кто-то добрался до переменных окружения, так что теперь всем надо ротировать все секреты, которые они там когда-либо хранили, и TiDB Cloud сообщил, что кто-то разгуливал у них внутри с украденными учётками почти месяц, а группировка вымогателей говорит, что вынесла 10,6 терабайта, и Zeabur взломали второй раз за два месяца, и он просто закрывается, вот прям вся компания, и Node.js закрыл удалённое выполнение кода и обход TLS, и CISA говорит, что Plex активно эксплуатируют, и кто-то захватил больше 300 выходных узлов Tor, чтобы воровать SSH-пароли, и рансомварь SafePay поразила больше 600 организаций критической инфраструктуры, и крупнейший банк Индии заявил об инциденте с потерей данных, и Япония с 9 октября официально находится в режиме чрезвычайной ситуации в киберпространстве, что, честно говоря, объясняет пост в 5:55 утра. Ах да, и eMudhra, удостоверяющий центр, выпустивший больше 60 миллионов сертификатов, чья единственная работа — подтверждать, что сайты являются теми, за кого себя выдают, должен был использовать закрытые ключи — случайные числа длиной больше ста цифр, а один из них был 4. Просто 4. А другие были типа 66 и 237. В общем, сегодня среда. @gostev_future