| 1.1, Анониматор (?), 09:11, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
Непонятно, это только у тех у кого функционал загрузки файлов есть, или вообще на просто хелловроте тоже сработает эксплойт?
| | |
| |
| 2.2, Ятыаноним (?), 09:15, 21/10/2026 [^] [^^] [^^^] [ответить]
| +10 +/– |
ну в новости прямо пишут что ой "Наличие на сайте функциональности для загрузки файлов для совершения атаки не требуется"
| | |
| |
| 3.17, Аноним (17), 10:02, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
а сработает ли если в настройках нгинкса разрешен только GET. По идее ничто не мешает сформировать get-запрос с телом и multipart-data, и насколько тупым или умным окажется php в этом случае?
| | |
| |
| |
| |
| |
| 7.144, Аноним (89), 19:05, 21/10/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> по спекам нельзя
Может, ты сможешь показать то место в спеках, где это "нельзя"?
| | |
| 7.145, Аноним (89), 19:24, 21/10/2026 [^] [^^] [^^^] [ответить]
| +4 +/– | |
Я даже подскажу тебе: RFC 2616
Request = Request-Line ... CRLF [ message-body ]
Request-Line = Method SP ...
Method = "OPTIONS" | "GET" | "HEAD" | "POST" ...
Видишь, по синтаксису все методы касательно тела равноправны.
| | |
|
| 6.174, Ilya Indigo (ok), 07:25, 22/10/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
 > прочитай для начала спеки.
Признаю, был НЕ прав!
Я в шоке со спецификаций HTTP, не желательно, но можно (запрета как такового нет)!.
curl -X GET "https://test" -F "file=@/tmp/test.txt" -F "username=johndoe" -v
Даже 400 нет, 200 как не в чём не бывало...
$_SERVER['CONTENT_LENGTH'] = 319
$_SERVER['CONTENT_TYPE'] = multipart/form-data; boundary=------------------------OkHDQEbTsl02pRyCq8CBSk
$_SERVER['REQUEST_METHOD'] = GET
Я в шоке!
| | |
|
|
| 4.176, Ilya Indigo (ok), 08:04, 22/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
curl -X GET "https://test" -F "file=@/tmp/test.txt" -F "username=johndoe" -v
$_SERVER['CONTENT_LENGTH'] = 319
$_SERVER['CONTENT_TYPE'] = multipart/form-data; boundary=------------------------OkHDQEbTsl02pRyCq8CBSk
$_SERVER['REQUEST_METHOD'] = GET
Теоретически, сработает.
| | |
| |
| 5.184, Аноним (17), 17:07, 22/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
жесть, теперь понятно почему закрылись сайты со статическим контентом
| | |
|
|
|
| 2.9, жавамэн (?), 09:27, 21/10/2026 [^] [^^] [^^^] [ответить]
| –8 +/– |
Это очередная уязвимость в вакууме, практическая реализация которой невозможна. Что-то типа отсутствия проверки на возврат printf.
| | |
| |
| 3.25, Боевой Петух (?), 10:13, 21/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Так и есть. Иначе где повальнве взломы всего и вся. В тайне такие сурьезные дыры не удержать, и в даркнете инфа бы 100500 раз успела разлететься.
| | |
| 3.113, Аноним (113), 17:24, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Практическая реализация это загрузка файла на любой сайт на PHP где есть загрузка файла! Как будто в 2000-е вернулся.
| | |
|
| |
| 3.88, FSA (ok), 15:08, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
 > Мужики! Как в lighttpd зарубить multipart загрузки?
Во ты кремень! Я не вытерпел и перешёл на nginx много лет назад. Я не видел в lighttpd чего-то такого, ради чего стоило его использовать. Кстати, а для чего он в 2026 году нужен?
| | |
| |
| 4.92, Гость (??), 15:27, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
своеобразный формат конфига, некоторое позволяет сделать легко и красиво, на чём-нибудь не нагруженном и не требующем новейшие протоколы, вполне можно держать
| | |
|
| 3.115, Аноним (115), 17:27, 21/10/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
Запрос в Claude Code: "как в lighttpd заблокировать Content-Type multipart"
Ответ ИИ:
Вариант 1: запрет через mod_access, ответ 403
server.modules += ( "mod_access" )
$REQUEST_HEADER["Content-Type"] =~ "(?i)^\s*multipart/" {
url.access-deny = ( "" )
}
Вариант 2: ответ 415 через mod_magnet (Lua)
server.modules += ( "mod_magnet" )
magnet.attract-raw-url-to = ( "/etc/lighttpd/deny-multipart.lua" )
-- /etc/lighttpd/deny-multipart.lua
local r = lighty.r
local ct = r.req_header["Content-Type"]
if ct and ct:lower():match("^%s*multipart/") then
return 415
end
| | |
| |
| 4.123, Аноним (115), 18:02, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Проверено NextCloud на lighttpd с заблокированным Multipart/Form-Data нормально РАБОТАЕТ
$REQUEST_HEADER["Content-Type"] =~ "(?i)^\s*multipart/form-data" {
url.access-deny = ( "" )
}
| | |
|
|
|
| 1.3, Аноним (3), 09:22, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –28 +/– |
Будет ли это последним гвоздем в гробы ПыХи?
Он и так уже мало где используется, а если попрут взломы...
| | |
| |
| 2.5, Аноним (5), 09:25, 21/10/2026 [^] [^^] [^^^] [ответить]
| +6 +/– |
70% web-сайтов это "мало где используется"?
WorldPress остаётся самой популярной CMS.
| | |
| |
| |
| 4.189, _ (??), 20:21, 23/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> ПХП это далеко не только WordPress.
А песец! это делеко не только мех! ;-DDDDDD
| | |
|
| 3.90, Аноним (89), 15:16, 21/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Пора возвращаться на перл. Там таких проблем, как у php, нету.
| | |
|
| 2.15, Аноним (17), 09:58, 21/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
вся мелкая торгашня до повального переезда на Озон на Битриксе сидели, наверно по инерции так и сидят
| | |
| |
| 3.42, тоже Аноним (ok), 11:51, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
 > вся мелкая торгашня до повального переезда на Озон на Битриксе сидели, наверно по инерции так и сидят
С этого давно протухшего продукта крайне сложно слезать. Видел уже статьи на Хабре о том, как к нему незаметно пристраивают нормальный фреймворк, отвечающий за реальную работу, и оставляют Битрикс только как фасад. Но это штучное решение.
На Озоне, кстати, тоже намазано отнюдь не медом. Свой магазин, если он сколько-нибудь жив, Озон не отменяет.
| | |
|
| 2.19, Жироватт (ok), 10:06, 21/10/2026 [^] [^^] [^^^] [ответить]
| +8 +/– |
 Хоронили Пых, порвали два состава составов баянов, но мертвец, вопреки прогнозам анонимных и не очень Отстрадамусов, жив, доволен собой и жизнью и помирать не собирается.
Если язык хочет жить и его активно пользуют, то медицина тут бессильна.
| | |
|
| 1.4, Дони (?), 09:23, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +9 +/– |
А могли бы сидеть на PHP 4, после которого язык превратился в bloated помойку, и уже сложнее java.
| | |
| |
| 2.12, Tron is Whistling (?), 09:38, 21/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Ну как-то да, последней вменяемой версией были 8.0/8.1, где нужные и важные JIT и Fiber добавили. А дальше понёсся какой-то полусахар для совсем уж обезьянок.
| | |
| 2.14, тоже Аноним (ok), 09:53, 21/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
При написании на примитиве вроде РНР 4 хоть сколько-нибудь сложной системы неизбежно получится копролит типа Битрикса.
| | |
| |
| 3.21, Боевой Петух (?), 10:08, 21/10/2026 [^] [^^] [^^^] [ответить]
| –6 +/– |
Битрикс отличная система, насколько я помню, в отличие от современнвх оверинжиниред монстров.
| | |
| |
| 4.57, фывыфв (?), 13:03, 21/10/2026 [^] [^^] [^^^] [ответить]
| +4 +/– | |
> Битрикс отличная система
Имел опыт работы. На столько хватило этого, что уволился из конторы, которая при мне стала официальным дистрибьютором, с неплохой зп кстати.
Долго отмывался потом. Все еще помню привкус Битрикса.
| | |
|
|
| |
| |
| 4.103, Аноним (16), 16:24, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Суть такова:
> This feature was officially deprecated as of PHP 5.3.0 and removed in PHP 5.4, due to security concerns. | | |
|
|
| 2.20, Боевой Петух (?), 10:07, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Согласен. 4 пыха первая и последня +/- адекватная версия, далее они свернули куда-то не туда.
| | |
| |
| 3.59, фывыфв (?), 13:06, 21/10/2026 [^] [^^] [^^^] [ответить]
| +3 +/– | |
Интересно, все кто нахваливает PHP4, хоть раз в жизни создавали какой-то продукт на PHP более менее пользующийся спросом?
Я да, причем писал на PHP4 до выхода PHP5. PHP4 - это убожество. Веха PHP это версия 5.6.
| | |
| |
| 4.74, Tron is Whistling (?), 14:32, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Да, 5.6, и далее до 7.3 включительно ничего сильно не ломали.
В 7.4 что-то пошло не так, но не сильно. 8.0/8.1 - терпимо, за JIT можно потерпеть.
Но с 8.2 понеслась какая-то долбанина. И релиз цикл ещё сменился от стабильного к вечно рушащемуся блидингэджу.
| | |
|
|
| 2.30, Pahanivo (ok), 10:37, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Да фиг с ней с помойкой ... ломание совместимости при смене мажорной версии зачем?
| | |
| |
| 3.49, пох. (?), 12:26, 21/10/2026 [^] [^^] [^^^] [ответить]
| +4 +/– |
мажорной?! Да вы, голубчик, родиться просто опоздали.
Это протухт ровно тех же ребят что в 2005м на ровном месте сломали foreach - вот ровненько между 5.2.1 и 5.2.2
| | |
| |
| 4.78, Tron is Whistling (?), 14:45, 21/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
Это когда для итераторов сломали поведение курсора на next внутри foreach, чтобы не плодить два инстанса итераторов?
Так то, что они сломали - уже UB само по себе, в здравом уме нормальный человек такое писать не будет. Потому что реально UB.
| | |
| |
| 5.79, пох. (?), 14:53, 21/10/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
ну это ж именно то чего все ждут от третьей цифирки после точки - херак, вы слушаете маяк, у вас половина сайтов не работает. Точнее интересным образом глючат, поэтому ты далеко не сразу сообразишь в чем проблема.
| | |
|
| 4.160, Pahanivo (ok), 22:04, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> мажорной?! Да вы, голубчик, родиться просто опоздали.
дату рега глянь чтоле ...
| | |
|
|
| 2.48, Аноним (48), 12:16, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Подскажите пожалуйста не-bloated альтернативу. Только без совсем васянских поделок, т.к. для них очень скоро перестанут выходить фиксы багов или они в будущем станут такими же bloated помойками. Мне реально интересно.
| | |
|
| |
| 2.31, Аноним (17), 10:38, 21/10/2026 [^] [^^] [^^^] [ответить]
| +4 +/– |
php 5.4 вышел в 2012 году, это кожаные внесли, ИИ невиноунен
| | |
|
| 1.26, Аноним (26), 10:17, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> …CVE-2026-109618 и CVE-2026-109619…
https://security-tracker.debian.org/tracker/CVE-2026-109618
https://security-tracker.debian.org/tracker/CVE-2026-109619
Обе ссылки выдают 404. Возможно, скрыты в связи с эмбарго (хоть и слитым). Там хоть было что–нибудь?
| | |
| 1.35, Аноним (115), 10:56, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
>для предотвращения атаки без применения патча требуется полная блокировка запросов с типом контента "multipart/form-data", которая приведёт к невозможности загрузки файлов через web-формы.
Т.е. полная остановка функциональности NextCloud.
| | |
| 1.40, Аноним (40), 11:19, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
а дак что оно делает-то ? сервак вешает или прямо выполнение кода любого ?
| | |
| 1.41, Аноним (41), 11:47, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– | |
> (проблема решается перебором в эксплоите смещений, заранее вычисленных для пакетов из разных дистрибутивов).
Практическое закрытие прблемы решается установкой из исходников.
| | |
| |
| 2.51, Аноним (51), 12:36, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Вот это мне тоже интересно стало.
Ведь есть некий ASLR (Address Space Layout Randomization), который аккурат не позволит однозначно вычислять эти смещения. Насколько понимаю, этот режим во множестве дистров активирован.
| | |
|
| |
| 2.47, тоже Аноним (ok), 12:13, 21/10/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Да любая маргинальщина менее подвержена атакам, просто по принципу Неуловимого Джо.
Тот же Битрикс гордо кукарекал, какой он неуязвимый... до 2022. А потом тема "Взломаны сайты в честь дня конституции украины" на офсайте набрала сотню страниц...
Впрочем, велосипедам на ноде этот вариант не грозит.
| | |
| 2.55, menangen (?), 12:51, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
75% гошников это бывшие пыхеры
С пыха разбежалось огромное количество нубов ещё в 2010-2020, щас тока матерые и непробивные кабаны ещё что-то там на поддержке тянут всякие поделия
| | |
| |
| |
| 4.143, Аноним (143), 19:01, 21/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Так любые, в том числе крутейшие, специалисты вырастают только и исключительно из нубов. И если нубы разбежались, то специалистов больше не будет, и в итоге инфра PHP придёт к тому же состоянию что и инфра Perl. Типа релизы вроде выходят по расписанию, и модулей тысячи для люых задач, но на деле в релизах кроме бампа версии ничего по сути нет, а модули никто не поддерживает.
| | |
| |
| 5.162, тоже Аноним (ok), 22:28, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Люди - разные. Чем больше нуб скачет по модным языкам и фреймворкам, тем меньше у него шансов стать специалистом. Хотя он, конечно, воображает себе обратное.
См. эффект Даннинга-Крюгера.
| | |
| |
| 6.175, фывыфв (?), 07:32, 22/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Чем больше нуб скачет по модным языкам и фреймворкам, тем меньше у него шансов стать специалистом.
Языки и фруймворки, это инструменты. Специалисты тем и отличаются, что они умеют правильно подбирать инструмент и архитектуру для задачи.
| | |
| |
| 7.177, тоже Аноним (ok), 08:52, 22/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Языки и фруймворки, это инструменты. Специалисты тем и отличаются, что они умеют правильно подбирать инструмент и архитектуру для задачи.
Специалисты знают, что задачи имеют много решений и довольно часто решаются на чем угодно без критичных различий. Опыт и глубина знаний важнее, чем конкретный стек.
| | |
|
|
|
|
|
| 2.96, Инопланетянин (?), 15:45, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Astro is a JavaScript web framework that renders components on the server and sends lightweight HTML to the browser.
Что-то на хипстерском. Можно слать "lightweight HTML" без всяких фреймоврков.
| | |
| 2.129, черпало (?), 18:24, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
каждый раз, как ты гордо показываешь, врываясь в оюсуждение любой темы, смеюсь.
ты прям карикатурно-классический спесалист высокого уровня и шырокого профиля. Хуже не придумаешь.
| | |
|
| 1.54, menangen (?), 12:48, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
Большинство пыхеров уже и не пыхеры вовсе - там огромное лобби вайтишников было, которые на вордпрессе тупо мышкой ставили плагины, чтобы накрутить из этого г инетрент магазин по продаже ковриков и запчастей. Потом пощемились на руби с рельсами, там был бум магазинов на рельсах и кофескрипте, затем выстрелила нода и гоу и щас уже даже не понятно, кому эта пыха интересна - новых статей по ней нет, новых фреймворков - нет, новых orm - тока всплывают дыры и вся экосистема превращается в легаси как и чистая java, плюс из php сами разрабы пытались сделать что-то невменяемое уже лет 10 как
| | |
| |
| 2.64, фывыфв (?), 13:22, 21/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> php сами разрабы пытались сделать что-то невменяемое уже лет 10 как
Такое чувство, что они пытались (или все еще пытаются) сделать альтернативу java, только интерпретируюмую и обратной совместимостью, обильно посыпанная тоннами сахара.
| | |
| 2.134, Ivan_83 (ok), 18:32, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Давайте заменим пыху на С в вашем опусе и попробуем понять что изменится :)
В том плане что тот же С не нуждается в каком то развитии, там и так всего нужного более чем достаточно для решения любых задач.
Так же мне не понятно чего вам от пыхи надо, чего не хватает то?
Я не пыхо пограмист, но вижу что тот же некстклауд, мантис и руторрент (с чем я имею дела) прекрасно работают и не испытывают проблем с функционалом или изображением современного вида гуя, при этом как администратор и меинтейнер я опять же не вижу проблем с поддержкой этого.
(хотя некстклауд как для админа мне не нравится - сложная поддержка).
И я вижу как трудно тянуть проекты на питоне.
| | |
| |
| |
| 4.165, Ivan_83 (ok), 00:11, 22/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Мне как бы не нравится тема того что если в язык не наваливают тонны всякого то вот он типа мёртвый.
Или если не запиливают 10005000 никому ненужных либ/фрейморков то тоже язык никому не нужен.
Или если прога 10 лет не обновлялась - то с чего бы ей переставать работать? (речь про тех у кого нет зависимостей)
С, пхп, перл - те немногие языки где удаётся соблюдать баланс как в самом языке не наваливая туда много так и в проектах где зависимостей мало/они все внутри.
| | |
|
|
|
| |
| 2.61, фывыфв (?), 13:09, 21/10/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Смысл? В экосистеме php сейчас есть все инструменты для нормальной разработки. Окружение позволяет поднять достаточно шустрые сервисы. Лучше работающие даже чем Python.
| | |
| |
| 3.75, Dmitry (??), 14:33, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ага, конечно. Пишу на JS бэк, спека OpenAPI (ендпоинты, query, типы тел запросов, типы ответов) генерится автоматически на моем роуте /openapi, для этого я подключил лишь один плагин. Как же я долго ругался со всеми PHP разработчиками - ни в какую. Они походу его в вручную пишут, потому что он автоматически из кода у них не обновляется. Как хороша PHP экосистема. WEB-язык это JS.
| | |
| |
| 4.94, фывыфв (?), 15:41, 21/10/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
Вы описываете чисто человеческий фактор. Уверен для пыхи генерилок OpenAPI тоже хватает.
| | |
| |
| 5.99, Dmitry (??), 16:01, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Нет. Люди всегда слиты с экосистемой на которой они пишут. Это как связка пространство-время.
| | |
|
|
|
| 2.70, Аноним (143), 14:18, 21/10/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Зачем, когда можно на языки програмирования уходить? И забыть как страшный сон тормозные, ждущие память и забагованные динамические язычки.
| | |
|
| 1.72, Tron is Whistling (?), 14:29, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
#####################
--- a/ext/session/session.c 2015-09-01 22:09:37.000000000 +0200
+++ b/ext/session/session.c 2026-10-21 12:31:35.206373687 +0200
@@ -2272,3 +2272,4 @@
php_session_rfc1867_orig_callback = php_rfc1867_callback;
- php_rfc1867_callback = php_session_rfc1867_callback;
+// temporary mitigation for php2shell
+// php_rfc1867_callback = php_session_rfc1867_callback;
#####################
Это для затравки, кому надо. Да, убьёт upload progress - но незаметно для клиента. Да, не факт, что это единственное место, где оно уязвимо. Но пока полной информации нет, для старых версий в самый раз.
| | |
| |
| |
| 3.169, menangen (?), 01:18, 22/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Будет угарно, когда после его патча будет падать сервис только во время попыток хакнуть его сервис
| | |
| |
| 4.183, Tron is Whistling (?), 14:22, 22/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
И обезьянки не сделают к сожалению, тут анализ нужен.
Нет, накорябать-то накорябают, но без концепта не накорябают.
| | |
|
|
|
| 1.80, Аноним (80), 14:55, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Комментаторам выше - на похапе поныне работают такие незначительные сайты, как Фейсбук, ВК (вероятно до сих пор), Википедия, Хвиттер и другие. Его разрабам работы хватит.
| | |
| |
| 2.85, пох. (?), 15:03, 21/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
И сегодня к вечеру им всем - ПЦ!
"а вторая новость еще лучше!" (c) советский анекдот
| | |
| 2.91, но (?), 15:21, 21/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Свитер изначально был на руби, потом на жаву вроде перешел.
| | |
| 2.95, фывыфв (?), 15:43, 21/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
у Фейсбук и ВК были свои компилируемые пыхи. Есть в открытом доступе.
ВК же вроде ушел от него, хз куда, наверное на go.
| | |
| 2.106, Аноним (51), 16:48, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Эти-то пофиксят. Вполне вероятно, что у них и не дистрибутивные сборки (а значит и правильные смещения в эксплойте просто так не удастстя подобрать)
Вот куча всякого старья в сети (в том числе и локалках), с вэбмордами возможно на похапэ - она никуда не денется. Никто их фиксить не будет, или фиксов нет, или никому дела до этого нет, или никто даже не подозревает что это и где у них там это. Раздолье что для ботнетов, что для скайнета.
| | |
|
| 1.87, Аноним (87), 15:05, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Почините новость кто-нибудь? ссылка на pastbin похоже уже проломлена и постоянно требует проверить что ты не робот:)
| | |
| 1.97, Аноним (97), 15:50, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– | |
Гугл предлагает в главном конфиге Nginx добавить конструкцию, чтобы работало для всех сайтов
map $http_content_type $block_multipart {
default 0;
~*multipart 1;
}
Рабочая тема?
| | |
| 1.100, Аноним (100), 16:04, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Если панель ISP, то предлагает создать файл
/etc/nginx/vhosts-includes/multipart_protection.conf
if ($http_content_type ~* "^multipart") {
return 403;
}
Она добавляется во все конфиги в Server.
Сломается часть функционала, которая построена на этом механизме. Например у Б24 уже отвалился встроенный почтовый клиент.
| | |
| |
| 2.190, пох.. (?), 15:51, 24/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
да тут все нахрен сломается кроме хеловротов. Включая кажись сам ispmanage...а, собственно, уже ж и поломали.
впрочем, иди0ты пользующие (пользуемые!) isp того и достойны.
| | |
|
| 1.104, Аноним (104), 16:30, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Стоит PHP 8.2.20, session.upload_progress.enabled на off в php.ini поставил.
Нормально ли обновится минорная версия пыхи на устаревших дистрибутивах по типу CentOS 7 ? Пробовал кто-нибудь?
| | |
| |
| |
| 3.180, Аноним (104), 11:40, 22/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Спасибо тебе, человек! Сэкономил кучу времени на восстановлении работы сервера. Инструкция там не совсем полная, возникли проблемы с некоторыми devel, пакетами и openssl , но с нейронкой справился.
Счастья и удачи тебе, хорошего дня!
| | |
|
|
| 1.105, Аноним (105), 16:45, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
Похоже что у уязвимости три условия для эксплуатации:
1. session.upload_progress=1 - это значение по-умолчанию, надо конечно выключать
2. post_max_size должен быть больше чем memory_limit - это отнюдь не везде так, надо проверять
3. RCE возможен только на Apache, а на nginx + php-fpm - только DDoS.
Я же правильно понял по описанию?
| | |
| |
| 2.121, Аноним (113), 17:39, 21/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
1. Нет, это лишь убирает простую версию. Для того чтобы избавиться от уязвимости нужно отключать multipart.
2. Тоже необязательно. Работает и на стандартных настройках, где наоборот. Более того post_max_size не гарантирует предотвращение OOM.
3. Нет, не возможен, а "продемонстрирован".
| | |
| 2.126, Аноним (126), 18:15, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> 3. RCE возможен только на Apache, а на nginx + php-fpm - только DDoS.
FPM exits the child when request startup fails. This prevents consumption of the invalid state and removes the child from the pool. After normal startup, OOM may still be reached in a context failing to account for an early exit, with the invalid state being processed during request shutdown. Source analysis therefore supports FPM as a susceptible, though no complete FPM exploit has been demonstrated for this SAPI.
| | |
| 2.130, Ivan_83 (ok), 18:25, 21/10/2026 [^] [^^] [^^^] [ответить] | +1 +/– | Если вас так волнует тема безопасности - надо думать по другому, как Тео или как... большой текст свёрнут, показать | | |
|
| 1.107, Аноним (107), 17:03, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Сайт php не открывается. Заблочили чтобы никто не мог обновиться и хакеры могли бы поломать наши сайты?
| | |
| |
| 2.109, Гость (??), 17:20, 21/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
открывается, только временами медленно, все ломанулись туда, вот и не держит нагрузку
| | |
|
| 1.116, Инопланетянин (?), 17:28, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Когда то давно посмотрев на php.ini понял, что сам яп лютый вайбкод, еще до того как это стало мейнстримом. Буквально поведение можно менять. И предлагается такое выставлять наружу. Собственно время только подвтерждает это.
| | |
| |
| 2.128, Ivan_83 (ok), 18:18, 21/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Нормальный Язык Программирования делает то что от него хочет пользователь, даже если это стреляние в ногу через ухо.
Это у фриков с растом всё наоборот и ЯП за них решает как им жить.
| | |
| |
| 3.142, Аноним (-), 18:53, 21/10/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Нормальный Язык Программирования делает то что от него хочет пользователь
Лол, оказывается сишка всего лишь делает то, что от неё хотят ее пользователи - дырявый ненадежный софт.
> Это у фриков с растом всё наоборот и ЯП за них решает как им жить.
Перестань в каждой теме напоминать, что ты не осилил Раст. Это твои skill issues.
| | |
| |
| 4.170, Ivan_83 (ok), 01:22, 22/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Чтобы не осилить нужно захотеть, а я не хотел с самого начала и сейчас не хочу.
А насчёт хотений пользователей - это везде так: редко бывают те кто знает чего хочет и как это сделать правильно.
| | |
|
|
|
| |
| 2.135, Аноним (135), 18:33, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
ChangeLog есть в самих пакетах. Открой в Synaptic список файлов, должен быть что-то типа /usr/share/doc/php8.3-common/changelog.Debian.gz
| | |
|
| 1.127, Ivan_83 (ok), 18:17, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
Удачи в обе гачи, как говорится, с эксплуатацией :)
У меня оно как сидело в chroot где никакого shell нет так и дальше сидит.
Не говоря о том, что докувики и некстклауд не дают грузить файлы тем кто не авторизовался, а регистрация закрыта.
| | |
| |
| 2.131, тоже Аноним (ok), 18:25, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Не говоря о том, что докувики и некстклауд не дают грузить файлы
Их никто и не спрашивает. Читайте внимательнее.
| | |
| |
| 3.138, Ivan_83 (ok), 18:39, 21/10/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
Да ладно, тратить ещё на это время :)
Я его потратил на то, чтобы после удачной эксплутации атакующий получил ШИШ без масла :)
| | |
|
| 2.133, Аноним (133), 18:27, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
авторизация никак не защищает от уязвимости. сама уязвимость зарыта глубже.
| | |
| 2.137, Аноним (137), 18:38, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Сидит в изоляции, но через него идут важные данные? Тебя оно не задевает, а твоих клиентов?
| | |
| |
| 3.140, Ivan_83 (ok), 18:45, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
А ты для начала предложи способ рабочий что то сделать в окружении где почти ничего нельзя записать/выполнить и где ничего нет.
В данном случае я сам себе клиент и все влажные данные они мои.
В случае докувики - и так всё открыто, максимум что можно сделать - пакость уровня дефейса. И проживёт оно до момента когда я увижу и сделать восстановление с бэкапа через rsync или cp -f.
В случае некстклауда - там есть немного личных данных: жадный андройд не позволяет делать полноценные бэкапы никуда кроме как в облако анб. Так бы было больше.
| | |
|
|
| 1.136, Аноним (137), 18:37, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
>Для успешной эксплуатации требуется определение раскладки структур в памяти процесса, которая специфична в каждой сборке (проблема решается перебором в эксплоите смещений, заранее вычисленных для пакетов из разных дистрибутивов).
После этого все ваши off в конфиге ни имеют значения. Обработчики прозрачны как на ладони. Любая интерфейсная прослойка должна быть на чём то подобном Rust.
| | |
| |
| 2.141, Ivan_83 (ok), 18:47, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
А ещё на системах с ASLR она должна менятся при каждом запуске. Почему это никак не учитывается вопрос довольно интересный.
| | |
|
| 1.146, Аноним (146), 19:36, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
>Для успешной эксплуатации требуется определение раскладки структур в >памяти процесса, которая специфична в каждой сборке (проблема решается >перебором в эксплоите смещений, заранее вычисленных для пакетов из >разных дистрибутивов).
То есть самосборный пакет с неизвестным конфигом вызовет проблемы, по крайней мере массовые атаки не достигнут цели.
| | |
| |
| 2.150, Аноним (150), 20:01, 21/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Да вообще ужас. Столько версий наплодили и все с багами. То ли дело пых 5.3 - поставьте его и будет неуязвим (к этим конкретным уязвимостям) :D
| | |
| |
| 3.152, Нил Нонэниевич (?), 21:37, 21/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Всё что нужно для разработки уже пристуствовало в 5.6. Всё что сделано дальше - один огромный поворот не туда. И вот результаты.
| | |
|
| 2.164, Аноним (89), 23:29, 21/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Деды бракоделы
PHP расшифровывается как Personal Home Page. Кто придумал использовать ЭТО в проде - загадка.
| | |
| 2.171, menangen (?), 01:28, 22/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
А вот переписали бы пыхц на расте - была бы уязвимость вообще найдена нейросеткой??
| | |
|
| 1.181, Аноним21 (?), 12:16, 22/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Какие, интересно, первые известные сайты полетят? Нужно ли сильно беспокоиться, если пока нет возможности обновиться?
| | |
| |
| 2.187, shurshur (?), 21:04, 22/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
То, что ещё не сломали твой любимый сайт, вызвано тем, что уязвимость слишком сложна и её тяжело эксплуатировать. Пока нет доказательств, чтобы кто-то сделал что-то реально рабочее. Но и опровержений тоже нет.
В век нейронок нельзя полагаться, что такое не появится или что под какие-то старые версии не будет написан эксплойт. Надо обновляться или патчить. Сломать могут буквально в любой момент.
Я вчера накатил на все дебианоубунты пакеты от Ондрея, на старый Centos сам собрал нужную версию адаптацией спеки от remi, также накатил до свежей версии свой nextcloud в докере, который на 10 версий от стэбла отставал (nextcloud:35 вчера получил обнову с новым php). Сегодня только единственный сайтик на php 5.6 вылечил. Который и так был в докере - с нейронкой собрал контейнер с нужным php от Ондрея, потому что лечить старый контейнер, собранный 8 лет назад, было бы крайне больно.
Советую тоже не затягивать. Если надо deb - то от Ондрея с sury.org (но у него 5.6+). Если надо rpm - то от remi (но у него 7.4+), если надо rpm на el7 то для php 8.2 и 7.4 я выше кидал ссылки. А так уже есть патчи под все уязвимые версии, например в cloudlinux.
| | |
|
| 1.185, Аноним (17), 17:13, 22/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Этот php придумал чувак из зависти что на линуксе нет ASP, буквально на коленке. И пошло поехало...
| | |
|
