Критическая уязвимость в PHP

[apollion]

Крупные хостеры из топов сами решают\устраняют проблемы с php и т. д. и т. п. и оперативно, а также обновляют весь софт на серверах - в связи с чем, например, мой хостер предупреждает о том, что в такую-то дату - мои сайты не будут работать, например, 15-30 мин. в период с 01:00 до 05:00 по моск. времени.

Мой хостер обновил и залатал все версии php, которые есть на хостинге 22 октября и об этом уведомил меня:

Проблема устранена!

Мы установили необходимые обновления безопасности PHP на виртуальном хостинге и выделенных серверах под нашим администрированием.
Все временные ограничения сняты, работа сервисов восстановлена.
Никаких дополнительных действий с вашей стороны не требуется.

А как решают всё это остальные хостеры не знаю и неинтересно. Ну, или такие конторы как мастерхост и таймвеб.
Меня хостленд давным-давно научил не связываться **** конторами.

[jd8615]

Откуда они их взяли - не понятно, но взяли

Заплатки на старые версии php написал мантейнер php пакетов ubuntu (в x.com прочитал вчера), тч они не от официалов php

[Kuskow]

В случае PHP2Shell команда безопасности PHP сделала исключение и подготовила отдельные исправления для трёх снятых с поддержки веток: 7.4, 8.0, 8.1. Они опубликованы в GitHub в виде отдельных веток php-src, а не полноценных релизов.
https://github.com/NCSC-NL/php2shell/bl ... /README.md

Zend объявила о готовых исправлениях PHP2Shell для PHP 7.2, 7.3, 7.4, 8.0 и 8.1. Это уже не просто перенос патча из официального репозитория, а коммерческое сопровождение старых веток.

Debian, Ubuntu, Red Hat и другие самостоятельно поддерживают свои пакеты. Изучают уязвимый участок исходников, переносят исправление в старую версию, проверяют совместимость, собирают новый пакет, публикуют его в репозитории безопасности.

Крупный хостер вроде Hetzner может иметь собственную команду разработчиков PHP, которая делает backport самостоятельно или приобретает коммерческие исправления, поэтому не только PHP 7.4 и 8.0–8.5, но даже PHP 5.6 и 7.3.
https://status.hetzner.com/incident/f41 ... 3429355cd7

Появилась ещё какая-то уязвимость CVE-2026-115560, но она слишком специфичная при редком стечении обстоятельств.
https://www.php.net/archive/2026.php#2026-10-23-1

[Vlad__]

У кого старые версии PHP и обновления поломают все годами настроенное и дописанное, а адаптировать сайты и форумы под новые версии PHP нет времени и желания, могут пересобоать PHP с патчем.

https://github.com/Anton-Barinov/php2shell-patches

[Vlad__]

А кто ничего не сделает, пусть сильно не переживает - эти уязвимости содержат больше хайпа, чем дела. До сих пор результативных атак не зафиксировано, проверенные якобы действия проводились в тепличных лабораторных условиях, остальное ИИ галлюцинации. Короче, что-то есть, но воспользоваться этим практически невозможно. Зато новость в топе пару дней!

[Kuskow]

Эффект, всё же, есть, пусть даже косвенный. Хайп заставил заняться кибер-гигиеной, обновить не только PHP, а и всё остальное. После этого нагрузка на процессор и память у меня снизилась процентов эдак на 15. А то так бы всё это застаивалось, накапливая жир, мох и плесень.
Переживать, конечно, не стоит. У всех есть суточные бэкапы - даже если сервер упадёт, восстановить на день-два реально. Кто давно не обновлялся - значит и посещаемость не такая высокая, чтобы следить за этим.

[apollion]

У меня нет суточных бэкапов - в этом нет смысла. Хостер сам делает, и без моей просьбы, автоматические бэкапы содержимого на моем аккаунте - каждые 3 суток. Сам я делаю бэкапы реже. А еще можно: мне самому сделать сразу бэкап всего содержимого аккаунта через хостинг-панель, и сохранить на другом сервере хостера, который предназначен только для бэкапов.
Пользователи моих сайтов не пишут такие комментарии, о потере которых стоило бы сильно переживать, это обычная болтовня, а контент, которым я сам лично наполняю сайты - это только тексты и изображения, их оригиналы я храню на ПК, а их копии на флешке и на ЯД и они занимают не так много места. Наверно размера флешки в 64 Гб хватит лет на 10 минимум.))