forum.opennet.ru - "Уязвимость в PHP, потенциально позволяющая скомпрометировать любой PHP-сайт" (45)

"Уязвимость в PHP, потенциально позволяющая скомпрометировать любой PHP-сайт"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в PHP, потенциально позволяющая скомпрометировать любой PHP-сайт"	+/–
Сообщение от opennews (?), 21-Окт-26, 09:11
Разработчики PHP анонсировали публикации сегодня в 17:00 (MSK) экстренных корректирующих выпусков (8.5.12, 8.4.27, 8.3.36 и 8.2.35), в которых будут устранены две критические уязвимости. Всем администраторам серверов с PHP рекомендовано незамедлительно установить исправления на своих системах, сразу после их публикации. Официально детали будут раскрыты только после появления исправлений, но судя по появившейся в открытом доступе информации, речь про уязвимости CVE-2026-109618 и CVE-2026-109619, потенциально позволяющие удалённо выполнить свой код на любом web-сервере, выполняющем PHP-скрипты в конфигурации по умолчанию. Проблемы проявляются во всех версиях, начиная с PHP 5.4... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66516
Ответить \| Правка \| Cообщить модератору

Оглавление

Непонятно, это только у тех у кого функционал загрузки файлов есть, или вообще н, Анониматор (?), 09:11 , 21-Окт-26, (1)

ну в новости прямо пишут что ой Наличие на сайте функциональности для загрузки , Ятыаноним (?), 09:15 , 21-Окт-26, (2) +3

а сработает ли если в настройках нгинкса разрешен только GET По идее ничто не м, Аноним (17), 10:02 , 21-Окт-26, (17)

эксплоит по ссылке 1 делает POST, второй не смотрел, Аноним (17), 10:11 , 21-Окт-26, (23)
У GET запроса нет и не может быть тела , Ilya Indigo (ok), 12:43 , 21-Окт-26, (53)

Это очередная уязвимость в вакууме, практическая реализация которой невозможна , жавамэн (?), 09:27 , 21-Окт-26, (9) –4

Как раз наоборот Практическая реализация 100 Новость перечитайте , Colorado_House_of_Representatives (?), 09:47 , 21-Окт-26, (13) –2

В тепличных специально созданных условиях , Боевой Петух (?), 10:05 , 21-Окт-26, (18) +3

Так и есть Иначе где повальнве взломы всего и вся В тайне такие сурьезные дыры, Боевой Петух (?), 10:13 , 21-Окт-26, (25)

Будет ли это последним гвоздем в гробы ПыХи Он и так уже мало где используется, , Аноним (3), 09:22 , 21-Окт-26, (3) –18

70 web-сайтов это мало где используется WorldPress остаётся самой популярной , Аноним (5), 09:25 , 21-Окт-26, (5) +4

в догонку статистика https w3techs com technologies overview programming_langu, Аноним (5), 09:26 , 21-Окт-26, (8)
ПХП это далеко не только WordPress , жавамэн (?), 09:32 , 21-Окт-26, (10) +1

вся мелкая торгашня до повального переезда на Озон на Битриксе сидели, наверно п, Аноним (17), 09:58 , 21-Окт-26, (15)

С этого давно протухшего продукта крайне сложно слезать Видел уже статьи на Хаб, тоже Аноним (ok), 11:51 , 21-Окт-26, (42)

Хоронили Пых, порвали два состава составов баянов, но мертвец, вопреки прогнозам, Жироватт (ok), 10:06 , 21-Окт-26, (19) +3

А могли бы сидеть на PHP 4, после которого язык превратился в bloated помойку, и, Дони (?), 09:23 , 21-Окт-26, (4) +9

Ну как-то да, последней вменяемой версией были 8 0 8 1, где нужные и важные JIT , Tron is Whistling (?), 09:38 , 21-Окт-26, (12) –1
При написании на примитиве вроде РНР 4 хоть сколько-нибудь сложной системы неизб, тоже Аноним (ok), 09:53 , 21-Окт-26, (14) –3

Битрикс отличная система, насколько я помню, в отличие от современнвх оверинжини, Боевой Петух (?), 10:08 , 21-Окт-26, (21) +1

Имел опыт работы На столько хватило этого, что уволился из конторы, которая при, фывыфв (?), 13:03 , 21-Окт-26, (57)

Это там, где magic quotes и прочие радости жизни Лол , Аноним (16), 09:59 , 21-Окт-26, (16) –2
Согласен 4 пыха первая и последня - адекватная версия, далее они свернули куд, Боевой Петух (?), 10:07 , 21-Окт-26, (20) +1
Да фиг с ней с помойкой ломание совместимости при смене мажорной версии заче, Pahanivo (ok), 10:37 , 21-Окт-26, (30)

мажорной Да вы, голубчик, родиться просто опоздали Это протухт ровно тех же ре, пох. (?), 12:26 , 21-Окт-26, (49)

Подскажите пожалуйста не-bloated альтернативу Только без совсем васянских подел, Аноним (48), 12:16 , 21-Окт-26, (48)

Вот тебе и ИИ , Аноним (22), 10:09 , 21-Окт-26, (22) –3

php 5 4 вышел в 2012 году, это кожаные внесли, ИИ невиноунен, Аноним (17), 10:38 , 21-Окт-26, (31) +3

Если бы это была реальная уязвимость, пол инторнета уже бы крякнули , Боевой Петух (?), 10:11 , 21-Окт-26, (24) –1

А почему вы думаете, что их не крякнули , Rev (ok), 12:08 , 21-Окт-26, (45) +2

h b b ttps security-tracker debian org tracker CVE-2026-109618h b b ttps , Аноним (26), 10:17 , 21-Окт-26, (26)
Т е полная остановка функциональности NextCloud , Аноним (35), 10:56 , 21-Окт-26, (35) +1

70 интернета к твоим услугам , Аноним2 (?), 11:14 , 21-Окт-26, (39) +2

а дак что оно делает-то сервак вешает или прямо выполнение кода любого , Аноним (40), 11:19 , 21-Окт-26, (40)

и вешает и если нужно выполняет любой код по желанию, Аноним (43), 11:54 , 21-Окт-26, (43)

Практическое закрытие прблемы решается установкой из исходников , Аноним (41), 11:47 , 21-Окт-26, (41) +2

Вот это мне тоже интересно стало Ведь есть некий ASLR Address Space Layout Ran, Аноним (51), 12:36 , 21-Окт-26, (51)

Речь о смещениях, а не об абсолютных адресах , Жертва (?), 12:42 , 21-Окт-26, (52)

Вовремя я сбежал с Wordpress PHP на Astro Node js , DEF (?), 11:57 , 21-Окт-26, (44) +1

Node js - это тоже большая дыра , Rev (ok), 12:10 , 21-Окт-26, (46)
Да любая маргинальщина менее подвержена атакам, просто по принципу Неуловимого Д, тоже Аноним (ok), 12:13 , 21-Окт-26, (47)
Скрыто модератором, Аноним (-), 12:31 , 21-Окт-26, (50)
75 гошников это бывшие пыхерыС пыха разбежалось огромное количество нубов ещё в, menangen (?), 12:51 , 21-Окт-26, (55)

Большинство пыхеров уже и не пыхеры вовсе - там огромное лобби вайтишников было,, menangen (?), 12:48 , 21-Окт-26, (54)
Да уходить надо с этого PHP на питоновские Django и FastAPI , Аноним (56), 12:56 , 21-Окт-26, (56)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Анониматор (?), 21-Окт-26, 09:11 +/–

Непонятно, это только у тех у кого функционал загрузки файлов есть, или вообще на просто хелловроте тоже сработает эксплойт?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #9

2. Сообщение от Ятыаноним (?), 21-Окт-26, 09:15 +3 +/–

ну в новости прямо пишут что ой "Наличие на сайте функциональности для загрузки файлов для совершения атаки не требуется"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #17

3. Сообщение от Аноним (3), 21-Окт-26, 09:22 –18 +/–

Будет ли это последним гвоздем в гробы ПыХи?
Он и так уже мало где используется, а если попрут взломы...

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5, #15, #19

4. Сообщение от Дони (?), 21-Окт-26, 09:23 +9 +/–

А могли бы сидеть на PHP 4, после которого язык превратился в bloated помойку, и уже сложнее java.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12, #14, #16, #20, #30, #48

5. Сообщение от Аноним (5), 21-Окт-26, 09:25 +4 +/–

70% web-сайтов это "мало где используется"?
WorldPress остаётся самой популярной CMS.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #8, #10

8. Сообщение от Аноним (5), 21-Окт-26, 09:26 +/–

в догонку статистика https://w3techs.com/technologies/overview/programming_language

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

9. Сообщение от жавамэн (?), 21-Окт-26, 09:27 –4 +/–

Это очередная уязвимость в вакууме, практическая реализация которой невозможна. Что-то типа отсутствия проверки на возврат printf.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #13, #25

10. Сообщение от жавамэн (?), 21-Окт-26, 09:32 +1 +/–

ПХП это далеко не только WordPress.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

12. Сообщение от Tron is Whistling (?), 21-Окт-26, 09:38 –1 +/–

Ну как-то да, последней вменяемой версией были 8.0/8.1, где нужные и важные JIT и Fiber добавили. А дальше понёсся какой-то полусахар для совсем уж обезьянок.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

13. Сообщение от Colorado_House_of_Representatives (?), 21-Окт-26, 09:47 –2 +/–

Как раз наоборот. Практическая реализация 100%. Новость перечитайте.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #18

14. Сообщение от тоже Аноним (ok), 21-Окт-26, 09:53 –3 +/–

При написании на примитиве вроде РНР 4 хоть сколько-нибудь сложной системы неизбежно получится копролит типа Битрикса.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #21

15. Сообщение от Аноним (17), 21-Окт-26, 09:58 +/–

вся мелкая торгашня до повального переезда на Озон на Битриксе сидели, наверно по инерции так и сидят

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #42

16. Сообщение от Аноним (16), 21-Окт-26, 09:59 –2 +/–

Это там, где magic quotes и прочие радости жизни? Лол.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

17. Сообщение от Аноним (17), 21-Окт-26, 10:02 +/–

а сработает ли если в настройках нгинкса разрешен только GET. По идее ничто не мешает сформировать get-запрос с телом и multipart-data, и насколько тупым или умным окажется php в этом случае?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #23, #53

18. Сообщение от Боевой Петух (?), 21-Окт-26, 10:05 +3 +/–

> Практическая реализация 100%
В тепличных специально созданных условиях.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

19. Сообщение от Жироватт (ok), 21-Окт-26, 10:06 +3 +/–

Хоронили Пых, порвали два состава составов баянов, но мертвец, вопреки прогнозам анонимных и не очень Отстрадамусов, жив, доволен собой и жизнью и помирать не собирается.
Если язык хочет жить и его активно пользуют, то медицина тут бессильна.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

20. Сообщение от Боевой Петух (?), 21-Окт-26, 10:07 +1 +/–

Согласен. 4 пыха первая и последня +/- адекватная версия, далее они свернули куда-то не туда.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

21. Сообщение от Боевой Петух (?), 21-Окт-26, 10:08 +1 +/–

Битрикс отличная система, насколько я помню, в отличие от современнвх оверинжиниред монстров.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #57

22. Сообщение от Аноним (22), 21-Окт-26, 10:09 –3 +/–

Вот тебе и ИИ =(

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #31

23. Сообщение от Аноним (17), 21-Окт-26, 10:11 +/–

эксплоит по ссылке 1 делает POST, второй не смотрел

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

24. Сообщение от Боевой Петух (?), 21-Окт-26, 10:11 –1 +/–

Если бы это была реальная уязвимость, пол инторнета уже бы крякнули.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #45

25. Сообщение от Боевой Петух (?), 21-Окт-26, 10:13 +/–

Так и есть. Иначе где повальнве взломы всего и вся. В тайне такие сурьезные дыры не удержать, и в даркнете инфа бы 100500 раз успела разлететься.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

26. Сообщение от Аноним (26), 21-Окт-26, 10:17 +/–

> …CVE-2026-109618 и CVE-2026-109619…
https://security-tracker.debian.org/tracker/CVE-2026-109618
https://security-tracker.debian.org/tracker/CVE-2026-109619
Обе ссылки выдают 404. Возможно, скрыты в связи с эмбарго (хоть и слитым). Там хоть было что–нибудь?

Ответить | Правка | Наверх | Cообщить модератору

30. Сообщение от Pahanivo (ok), 21-Окт-26, 10:37 +/–

Да фиг с ней с помойкой ... ломание совместимости при смене мажорной версии зачем?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #49

31. Сообщение от Аноним (17), 21-Окт-26, 10:38 +3 +/–

php 5.4 вышел в 2012 году, это кожаные внесли, ИИ невиноунен

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

35. Сообщение от Аноним (35), 21-Окт-26, 10:56 +1 +/–

>для предотвращения атаки без применения патча требуется полная блокировка запросов с типом контента "multipart/form-data", которая приведёт к невозможности загрузки файлов через web-формы.
Т.е. полная остановка функциональности NextCloud.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #39

39. Сообщение от Аноним2 (?), 21-Окт-26, 11:14 +2 +/–

70% интернета к твоим услугам.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

40. Сообщение от Аноним (40), 21-Окт-26, 11:19 +/–

а дак что оно делает-то ? сервак вешает или прямо выполнение кода любого ?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #43

41. Сообщение от Аноним (41), 21-Окт-26, 11:47 +2 +/–

> (проблема решается перебором в эксплоите смещений, заранее вычисленных для пакетов из разных дистрибутивов).
Практическое закрытие прблемы решается установкой из исходников.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #51

42. Сообщение от тоже Аноним (ok), 21-Окт-26, 11:51 +/–

> вся мелкая торгашня до повального переезда на Озон на Битриксе сидели, наверно по инерции так и сидят
С этого давно протухшего продукта крайне сложно слезать. Видел уже статьи на Хабре о том, как к нему незаметно пристраивают нормальный фреймворк, отвечающий за реальную работу, и оставляют Битрикс только как фасад. Но это штучное решение.
На Озоне, кстати, тоже намазано отнюдь не медом. Свой магазин, если он сколько-нибудь жив, Озон не отменяет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

43. Сообщение от Аноним (43), 21-Окт-26, 11:54 +/–

и вешает и если нужно выполняет любой код по желанию

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

44. Сообщение от DEF (?), 21-Окт-26, 11:57 +1 +/–

Вовремя я сбежал с Wordpress + PHP на Astro + Node.js.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #46, #47, #50, #55

45. Сообщение от Rev (ok), 21-Окт-26, 12:08 +2 +/–

А почему вы думаете, что их не крякнули?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

46. Сообщение от Rev (ok), 21-Окт-26, 12:10 +/–

Node.js - это тоже большая дыра.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

47. Сообщение от тоже Аноним (ok), 21-Окт-26, 12:13 +/–

Да любая маргинальщина менее подвержена атакам, просто по принципу Неуловимого Джо.
Тот же Битрикс гордо кукарекал, какой он неуязвимый... до 2022. А потом тема "Взломаны сайты в честь дня конституции украины" на офсайте набрала сотню страниц...
Впрочем, велосипедам на ноде этот вариант не грозит.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

48. Сообщение от Аноним (48), 21-Окт-26, 12:16 +/–

Подскажите пожалуйста не-bloated альтернативу. Только без совсем васянских поделок, т.к. для них очень скоро перестанут выходить фиксы багов или они в будущем станут такими же bloated помойками. Мне реально интересно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

49. Сообщение от пох. (?), 21-Окт-26, 12:26 +/–

мажорной?! Да вы, голубчик, родиться просто опоздали.
Это протухт ровно тех же ребят что в 2005м на ровном месте сломали foreach - вот ровненько между 5.2.1 и 5.2.2

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

50. Сообщение от Аноним (-), 21-Окт-26, 12:31 Скрыто ботом-модератором +/–

> Вовремя я сбежал с Wordpress + PHP на Astro + Node.js.
Звучит солидно для безработного вайтишника после курсиков.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

51. Сообщение от Аноним (51), 21-Окт-26, 12:36 +/–

Вот это мне тоже интересно стало.
Ведь есть некий ASLR (Address Space Layout Randomization), который аккурат не позволит однозначно вычислять эти смещения. Насколько понимаю, этот режим во множестве дистров активирован.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #52

52. Сообщение от Жертва (?), 21-Окт-26, 12:42 +/–

Речь о смещениях, а не об абсолютных адресах.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

53. Сообщение от Ilya Indigo (ok), 21-Окт-26, 12:43 +/–

У GET запроса нет и не может быть тела!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

54. Сообщение от menangen (?), 21-Окт-26, 12:48 +/–

Большинство пыхеров уже и не пыхеры вовсе - там огромное лобби вайтишников было, которые на вордпрессе тупо мышкой ставили плагины, чтобы накрутить из этого г инетрент магазин по продаже ковриков и запчастей. Потом пощемились на руби с рельсами, там был бум магазинов на рельсах и кофескрипте, затем выстрелила нода и гоу и щас уже даже не понятно, кому эта пыха интересна - новых статей по ней нет, новых фреймворков - нет, новых orm - тока всплывают дыры и вся экосистема превращается в легаси как и чистая java, плюс из php сами разрабы пытались сделать что-то невменяемое уже лет 10 как

Ответить | Правка | Наверх | Cообщить модератору

55. Сообщение от menangen (?), 21-Окт-26, 12:51 +/–

75% гошников это бывшие пыхеры
С пыха разбежалось огромное количество нубов ещё в 2010-2020, щас тока матерые и непробивные кабаны ещё что-то там на поддержке тянут всякие поделия

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

56. Сообщение от Аноним (56), 21-Окт-26, 12:56 +/–

Да уходить надо с этого PHP на питоновские Django и FastAPI.

Ответить | Правка | Наверх | Cообщить модератору

57. Сообщение от фывыфв (?), 21-Окт-26, 13:03 +/–

> Битрикс отличная система
Имел опыт работы. На столько хватило этого, что уволился из конторы, которая при мне стала официальным дистрибьютором, с неплохой зп кстати.
Долго отмывался потом. Все еще помню привкус Битрикса.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Хоcтинг:

1. Сообщение от Анониматор (?), 21-Окт-26, 09:11	+/–
Непонятно, это только у тех у кого функционал загрузки файлов есть, или вообще на просто хелловроте тоже сработает эксплойт?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #2, #9

2. Сообщение от Ятыаноним (?), 21-Окт-26, 09:15	+3 +/–
ну в новости прямо пишут что ой "Наличие на сайте функциональности для загрузки файлов для совершения атаки не требуется"
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #17

3. Сообщение от Аноним (3), 21-Окт-26, 09:22	–18 +/–
Будет ли это последним гвоздем в гробы ПыХи? Он и так уже мало где используется, а если попрут взломы...
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #5, #15, #19

4. Сообщение от Дони (?), 21-Окт-26, 09:23	+9 +/–
А могли бы сидеть на PHP 4, после которого язык превратился в bloated помойку, и уже сложнее java.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #12, #14, #16, #20, #30, #48

5. Сообщение от Аноним (5), 21-Окт-26, 09:25	+4 +/–
70% web-сайтов это "мало где используется"? WorldPress остаётся самой популярной CMS.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #8, #10

8. Сообщение от Аноним (5), 21-Окт-26, 09:26	+/–
в догонку статистика https://w3techs.com/technologies/overview/programming_language
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

9. Сообщение от жавамэн (?), 21-Окт-26, 09:27	–4 +/–
Это очередная уязвимость в вакууме, практическая реализация которой невозможна. Что-то типа отсутствия проверки на возврат printf.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #13, #25

10. Сообщение от жавамэн (?), 21-Окт-26, 09:32	+1 +/–
ПХП это далеко не только WordPress.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

12. Сообщение от Tron is Whistling (?), 21-Окт-26, 09:38	–1 +/–
Ну как-то да, последней вменяемой версией были 8.0/8.1, где нужные и важные JIT и Fiber добавили. А дальше понёсся какой-то полусахар для совсем уж обезьянок.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

13. Сообщение от Colorado_House_of_Representatives (?), 21-Окт-26, 09:47	–2 +/–
Как раз наоборот. Практическая реализация 100%. Новость перечитайте.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #18

14. Сообщение от тоже Аноним (ok), 21-Окт-26, 09:53	–3 +/–
При написании на примитиве вроде РНР 4 хоть сколько-нибудь сложной системы неизбежно получится копролит типа Битрикса.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #21

15. Сообщение от Аноним (17), 21-Окт-26, 09:58	+/–
вся мелкая торгашня до повального переезда на Озон на Битриксе сидели, наверно по инерции так и сидят
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #42

16. Сообщение от Аноним (16), 21-Окт-26, 09:59	–2 +/–
Это там, где magic quotes и прочие радости жизни? Лол.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

17. Сообщение от Аноним (17), 21-Окт-26, 10:02	+/–
а сработает ли если в настройках нгинкса разрешен только GET. По идее ничто не мешает сформировать get-запрос с телом и multipart-data, и насколько тупым или умным окажется php в этом случае?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #23, #53

18. Сообщение от Боевой Петух (?), 21-Окт-26, 10:05	+3 +/–
> Практическая реализация 100% В тепличных специально созданных условиях.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13

19. Сообщение от Жироватт (ok), 21-Окт-26, 10:06	+3 +/–
Хоронили Пых, порвали два состава составов баянов, но мертвец, вопреки прогнозам анонимных и не очень Отстрадамусов, жив, доволен собой и жизнью и помирать не собирается. Если язык хочет жить и его активно пользуют, то медицина тут бессильна.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3

20. Сообщение от Боевой Петух (?), 21-Окт-26, 10:07	+1 +/–
Согласен. 4 пыха первая и последня +/- адекватная версия, далее они свернули куда-то не туда.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

21. Сообщение от Боевой Петух (?), 21-Окт-26, 10:08	+1 +/–
Битрикс отличная система, насколько я помню, в отличие от современнвх оверинжиниред монстров.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #57

22. Сообщение от Аноним (22), 21-Окт-26, 10:09	–3 +/–
Вот тебе и ИИ =(
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #31

23. Сообщение от Аноним (17), 21-Окт-26, 10:11	+/–
эксплоит по ссылке 1 делает POST, второй не смотрел
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17

24. Сообщение от Боевой Петух (?), 21-Окт-26, 10:11	–1 +/–
Если бы это была реальная уязвимость, пол инторнета уже бы крякнули.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #45

25. Сообщение от Боевой Петух (?), 21-Окт-26, 10:13	+/–
Так и есть. Иначе где повальнве взломы всего и вся. В тайне такие сурьезные дыры не удержать, и в даркнете инфа бы 100500 раз успела разлететься.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9

26. Сообщение от Аноним (26), 21-Окт-26, 10:17	+/–
> …CVE-2026-109618 и CVE-2026-109619… https://security-tracker.debian.org/tracker/CVE-2026-109618 https://security-tracker.debian.org/tracker/CVE-2026-109619 Обе ссылки выдают 404. Возможно, скрыты в связи с эмбарго (хоть и слитым). Там хоть было что–нибудь?
Ответить \| Правка \| Наверх \| Cообщить модератору

30. Сообщение от Pahanivo (ok), 21-Окт-26, 10:37	+/–
Да фиг с ней с помойкой ... ломание совместимости при смене мажорной версии зачем?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #49

31. Сообщение от Аноним (17), 21-Окт-26, 10:38	+3 +/–
php 5.4 вышел в 2012 году, это кожаные внесли, ИИ невиноунен
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22

35. Сообщение от Аноним (35), 21-Окт-26, 10:56	+1 +/–
>для предотвращения атаки без применения патча требуется полная блокировка запросов с типом контента "multipart/form-data", которая приведёт к невозможности загрузки файлов через web-формы. Т.е. полная остановка функциональности NextCloud.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #39

39. Сообщение от Аноним2 (?), 21-Окт-26, 11:14	+2 +/–
70% интернета к твоим услугам.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #35

40. Сообщение от Аноним (40), 21-Окт-26, 11:19	+/–
а дак что оно делает-то ? сервак вешает или прямо выполнение кода любого ?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #43

41. Сообщение от Аноним (41), 21-Окт-26, 11:47	+2 +/–
> (проблема решается перебором в эксплоите смещений, заранее вычисленных для пакетов из разных дистрибутивов). Практическое закрытие прблемы решается установкой из исходников.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #51

42. Сообщение от тоже Аноним (ok), 21-Окт-26, 11:51	+/–
> вся мелкая торгашня до повального переезда на Озон на Битриксе сидели, наверно по инерции так и сидят С этого давно протухшего продукта крайне сложно слезать. Видел уже статьи на Хабре о том, как к нему незаметно пристраивают нормальный фреймворк, отвечающий за реальную работу, и оставляют Битрикс только как фасад. Но это штучное решение. На Озоне, кстати, тоже намазано отнюдь не медом. Свой магазин, если он сколько-нибудь жив, Озон не отменяет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15