Критическая уязвимость в PHP

[ЯМарина]

Написала хостеру, ответ короткий,
"Здравствуйте!
Пока кроме мирового хайпа никаких особых подробностей нет, соответсвенно и что-то посоветовать мы не можем."

Видимо, что-то я не так им написала

[Татьяна5]

никаких особых подробностей нет

Есть, на официальном сайте php.net
Обновлять версию php надо

[dimassamid]

Пока кроме мирового хайпа никаких особых подробностей нет, соответсвенно и что-то посоветовать мы не можем.

Если поддержка использует такую терминологию и такие формулировки, абсолютно не понимая, что происходит, я бы бежал от такого хостинга как можно скорее. И абсолютно не важно как вы задали вопрос, пользователи могут не понимать какие-то вещи, но это никак не оправдывает некомпетентность технической поддержки.

[jd8615]

Пока кроме мирового хайпа никаких особых подробностей нет, соответсвенно и что-то посоветовать мы не можем."

кек, это кто? Ну может они обновили уже все. Да и в целом панику опять паникёры развели. 2 вектора атаки, первая спекулирует сессии вторая более сложная. Первую прикрыть можно банально session.upload_progress.enabled = off а вторая если связка nginx + apache + php тоже особо не сильно страшная (дорого и долго ломать).

День - два и все панели/хостеры обновятся. Другой момент конечно интересен. ИИ такого бреда в рекомендациях давали что реально можно было положить свои панели. Думаю будут гневные посты в пикабу и прочих редитах

Что до безопасности, у многих их панели через localhost админятся (пробрасывая тунель через ssh в который доступ по ключам)?

Главное бекапы иметь

[Leo Angel]

Написал в свою поддержку.
Пришёл ответ:

К сожалению, пока что не вышли обновления для дополнительных пакетов PHP со стороны FASTPANEL.
Основная версия PHP была обновлена до версии 8.3.6-0ubuntu0.24.04.13, в ней исправлена уязвимость. Сайт leoangel.info работает на PHP 8.3, не подверженной уязвимости.

И как это понимать? Стоит беспокоиться или нет?

[ps7]

ispmanager выпустил обновления включая 7.4

В ispmanager выпустили сборки, исправляющие уязвимость (https://t.me/ispmanager/712) в устаревших версиях PHP:

5.4.45-1794
5.5.38-1794
5.6.40-1786
7.0.33-1786
7.1.33-1786
7.2.34-1786
7.3.33-1786
7.4.33-1782
8.0.30-1782
8.1.34-1782

Ранее выпустили патчи к актуальным версиям:
8.2.35-1781
8.3.36-1781
8.4.27-1781
8.5.12-1781

Выпустили «нативные» PHP с поддержкой модуля лимитирования для Alma 9/10:
8.0.30-8.el9.alma.1.857351
8.3.36-1.el10.857351

Обновления доступны на всех версиях ispmanager на актуальных OC.

В brainycp пока только время доступа к директории репы обновили, но самих обновлений пока нет.

то есть нужно довести эту инфу до своего хостера, чтобы они установили эти заплатки для старых версий пхп?

[apollion]

Пока кроме мирового хайпа никаких особых подробностей нет

Если поддержка использует такую терминологию и такие формулировки, абсолютно не понимая, что происходит, я бы бежал от такого хостинга как можно скорее.

Вот и я хотел написать то же самое.
Во-первых, за 13 лет нахождения у моего текущего хостера и наверно 100+ тикетов в ТП хостера и общения там - я ни разу не видел ни от кого из ТП использования слов из молодёжного сленга. Во-вторых, они всегда пояснили всё более подробно - это как бы и в их интересах.

Сайт leoangel.info

У меня этот сайт не открывается вообще в 2-х браузерах, второй с плагином VPN-прокси, а первый без него.

[ps7]

уже даже РБК эту тему обсуждает
https://www.rbc.ru/technology_and_media ... 6f6fefd369

[Leo Angel]

Сайт leoangel.info

У меня этот сайт не открывается вообще в 2-х браузерах, второй с плагином VPN-прокси, а первый без него.

Странно! А что пишет? Какая ошибка?
У меня форум за Cloudflare, наверное, поэтому у Вас не открывается. Попробуйте мобильный интернет другого оператора или полноценный VPN - не браузерный плагин. Просто интересно уже.

[ps7]

по поводу письма Бегета
*********************
Уязвимости PHP устранены — обновления установлены
Здравствуйте!
21 октября разработчики PHP сообщили о двух критических уязвимостях, которые могли позволить злоумышленникам получить несанкционированный доступ к серверам и данным сайтов.
Для защиты ваших сайтов мы оперативно ввели временные ограничения на обработку загрузок файлов и работу отдельных механизмов PHP.
Проблема устранена!
Мы установили необходимые обновления безопасности PHP на виртуальном хостинге и выделенных серверах под нашим администрированием.
Все временные ограничения сняты, работа сервисов восстановлена.
Никаких дополнительных действий с вашей стороны не требуется.
*******************
если у меня на Бегете версия меньше 8.XX
что нужно сделать ?? поменять версию php для своего сайта (версия 3.3.17) до 8.2 ? то есть это просто изменения в панели админа бегета?
при этом форум будет работать на этой новой версии?

[Татьяна5]

поменять версию php для своего сайта (версия 3.3.17) до 8.2 ?

Да

[apollion]

Сайт leoangel.info

У меня этот сайт не открывается вообще в 2-х браузерах, второй с плагином VPN-прокси, а первый без него.

Странно! А что пишет? Какая ошибка?
У меня форум за Cloudflare, наверное, поэтому у Вас не открывается. Попробуйте мобильный интернет другого оператора или полноценный VPN - не браузерный плагин. Просто интересно уже.

Ничего не пишет. В Chrome без прокси открывается пустая серая страница с заголовком All About... и в верхнем левом углу вращается круг и внутри него какая-то нечитаемая смазанная надпись , а потом круг пропадает и просто белая страница. А в браузере с VPN-прокси Антизапрета - страница минуту пытается загрузиться и потом браузер пишет ошибку.

При этом через этот же браузер я захожу на рутрекер без проблем - проверка на бота проходит успешно.

Заходил через браузеры на ПК, другого провайдера нет, полноценный VPN мне без надобности.

Отправлено спустя 4 минуты 58 секунд:
Пробовал днем, сейчас попробовал через браузер с VPN-плагином - сайт с трудом, но загрузился. Странно.
У меня рутрекер грузится без проблем и мне кажется - быстрее.
А без прокси - по-прежнему пустая страница.

Отправлено спустя 4 минуты 48 секунд:
ps7,

Зайдите в панель хостинга по адресу https://cp.beget.com и посмотрите вверху экрана - там висит плашка с самыми свежими новостями об этой проблеме.
Ну и в разделе Новости можно почитать.

И поменяйте версию как советуют выше в этой теме.

[Vlad__]

мирового хайпа

Здесь они правы. Очень много хайпа. И ноль информации о взломах.

[Leo Angel]

apollion, отключил Cloudflare. Если не трудно, попробуйте опять зайти.

[apollion]

Leo Angel, сейчас попробовал.

Через браузер Chrome без VPN - пустило сразу
All About Aquarium - Главная страница
https://leoangel.info/
Через Supermium с прокси - тоже пустило сразу, показалось ощущениям, что быстрее секунд на 5 чем через первый браузер.
Исчез вращающийся круг, (когда ранее, час-полтора назад) заходил через браузер с прокси - круг был и я даже увидел, что там написано пока он вращался).
Почему-то на главной я не увидел списка форумов и т. д. и т. п. как тут https://www.phpbbguru.net/community/

Перешел в какой-то раздел, но там так и не понял как из него попасть на Главную со списком форумов.
Просто хотел посмотреть как выглядит форум и его стиль.
Наверно список форумов на Главной скрыт от гостей, но виден список активных тем при переходе по ссылке Активные темы.