21 октября в PHP раскрыли две критические уязвимости PHP2Shelli, позволявшие без авторизации удалённо выполнять код на сервере. Ошибки находились в самом языке, поэтому обновления сайтов и их CMS недостаточно: исправлять нужно PHP на серверах. После раскрытия уязвимостей организации по всему миру временно отключали ресурсы, а Cloudflare сообщила о миллионах попыток атак.
Уязвимости существовали много лет, но превратить их в рабочий способ взлома помог ИИ: GPT-5.6 Sol участвовала в обнаружении одной из них, а Wiz сообщила о независимом обнаружении с помощью ИИ. Патчи выпустили 21 октября, однако к 27 октября уже появились подтверждения успешных взломов; остаются под риском серверы, которые не обновили.
Уязвимость CVE-2026-110264i в GitLab получила максимальную оценку опасности — 10 из 10. При определённых условиях злоумышленник мог удалённо выполнить произвольный кодi и захватить сервер без входа в аккаунт.
Проблема затрагивает версии GitLab начиная с 7.0. GitLab выпустил экстренные патчи; пользователям собственной установки нужно срочно обновиться. В GitLab.com уязвимость уже закрыли.
«Шереметьево» начало переговоры о продаже принадлежащих ему 75% туроператора «Библио-Глобус». Среди возможных покупателей — структуры, связанные с Wildberries; о переговорах со ссылкой на источники сообщал РБК.
Покупка расширит туристический бизнес Wildberries: у компании уже есть туроператор Fun&Sun и отели под брендом WB Travel.
🚨 OpenAI срочно выпустили скилл для Codex, который проверяет ваш сайт на критические уязвимости PHP — они подвергают риску до 70% сайтов в интернете (~900 млн) и запускаются всего одной командой.
Достаточно дать вашему агенту ссылку на сайт или доступ к серверу, а он прогонит скрипт, проверит версию PHP и подскажет, требуется ли обновление. Также он может сразу установить обнову и защитить сайт на PHP от угроз.
Пользуемся — тут.
@notboring_tech
Also I took down both of my servers before the weekend. The PHP update is simply not getting through and I have guesses on why (either everyone is trying to get it or they rushed it out regardless of the errors)
Well, curious times, right?
В версии LiteLLM 1.107.0 обнаружили код, который крадёт пароли из браузеров и ключи доступаi к AI-сервисам, а также может загружать и запускать дополнительный код злоумышленников. Для заражения достаточно открыть любую Pythoni-программу в скомпрометированном окружении — запускать сам LiteLLM не требуется.
Обновление уже отозвали. Тем, кто успел установить эту версию, следует сменить пароли и проверить доступы: скомпрометированные ключи могут дать злоумышленникам доступ к AI-сервисам.
❗️Сайт Дождя временно недоступен
В связи с сообщениями о критических уязвимостях PHP — языка, на котором работают многие сайты, в том числе Дождя — мы в качестве меры предосторожности решили временно отключить наш основной сайт.
Сейчас техническая команда Дождя проверяет безопасность инфраструктуры. Мы восстановим работу сайта, как только убедимся, что его использование безопасно.
Приносим извинения за неудобства и благодарим за понимание.
Приложение Дождя для iOS и Android остается доступным.
Ровно, как все пошли обновлять версию пыхи, laravel forge решил прилечь с 502.
Тейлору больше не дают денег, а новую ламбу хочется. Поэтому он, видимо, решил положить в момент выхода патча на cve фордж и заразить все серверы, пока еще можно, что бы потом банчить на форумах ботнетом или слитыми базами. Новая ламба сама себя не купит.
