Уязвимости в PHP показали риски задержки обновлений зависимостей

😱 Вчера полмира и я вместе с ними бегали с горящей жопой из-за PHP. В нём нашли две критические уязвимости, через которые можно удалённо выполнять код на сервере с вашим сайтом. Проблема в самом PHP, так что поправить свой проект недостаточно. 🫠 И вот начались пляски. Все мы тут с вами такие умные, используем докеры, пакеты и готовые сборки. И, естественно, от них зависим. 🤷‍♂️ Смотрите ситуацию: патчи уже опубликованы, злоумышленники уже могут разобраться, что за проблема и как ей воспользоваться. А ты не можешь поставить исправление, потому что ждёшь, пока обновят пакет или Docker image. Когда автор сборки обновит, тогда и будет. Либо садись и пересобирай сам. 🤦‍♂️ То есть окно для атаки уже открыто, а ты ещё пытаешься обновиться. Некоторые сайты на это время вообще выключали. Самое интересное, что одну из этих уязвимостей нашли с помощью GPT-5.6 Sol. Даже не самой новой модели. И если вы сейчас сидите такие: «Хе-хе-хе, PHP, кто на нём вообще пишет?» Я бы не спешил радоваться. Вчера в Node.js тоже закрыли уязвимость с удалённым выполнением кода. А в начале октября в Python исправили дыру в распаковке архивов, через которую можно было получить доступ к файлам за пределами папки распаковки. 🤔 Мы вступаем в очень интересную эру. Как будто бы пора пересмотреть, какую информацию мы храним и как мы её храним. Теперь я бы по умолчанию держал в голове, что твой сервис, сайт или приложение в какой-то момент взломают. И тебе нужно заранее сделать так, чтобы после взлома потери были минимальны. Свята место | 10МДК | Чатик | YHub