Типичный Сисадмин

🚨 Прямо сейчас идёт еще один апокалипсис... в PHP. Загорелся один из главных несущих костылей мирового интернета. Сегодня опять интернеты сотрясло. 4chan переведен в ридонли, деды из Something Awful вообще закрыли форумы (пояснив, что уязвимость позволяет "хакинг, который вы видите в фильмах"), DeviantArt, Pinboard и прочие ушли в оффлайн. Всё это сделали две дыры (CVE-2026-109618 и CVE-2026-109619), позволяющие выполнить неавторизованное удаленное выполнение кода. Первая бага просто отвал башки. Хацкер шлет специфичный запрос, сборщик мусора PHP сходит с ума из-за нехватки памяти, не успевает очистить стейт, и в этот момент в память ложится пейлоад. Следующий воркер подхватывает этот грязный кэш, и... здравствуй, шелл с правами www-data. Уязвимы все: PHP-FPM, Apache с mod_php и прочие извращения. Пока американские форумы спасаются даунтаймом, у нас начинается своя атмосфера. 1С-Битрикс выкатил экстренный алерт. Если вы админите коробочный Битрикс24 или какой-нибудь жирный интернет-магазин на "Управлении сайтом" - мои соболезнования 😬 1️⃣ Накатывайте патчи на версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. 2️⃣ Если у вас до сих пор крутится легаси... PHP 8.1, 7.4 или 5.6 - патчей не будет. 3️⃣ Разрабы пыха выкатили временные воркэраунды для тех, кто не может обновиться прямо сейчас: 🟢Выключить session.upload_progress.enabled=0 в php.ini и рестартнуть пулы FPM. 🟢Уронить post_max_size до минимума. 🟢Поставить memory_limit=-1. Чтобы хакер не вызвал переполнение памяти предлагают вообще снять лимиты памяти в PHP 🙂 Заметили как кучно пошло, каждый день что-то отваливается, текущая симуляция трещит по швам 👾 Ридонли пятница наступила в среду 🍺 Типичный 🥸 Сисадмин