Комментарии 92
НКЦКИ при ФСБ потребовал срочно обновить PHP до версии 5.4. Тем, кто не успевает, предложено отключить сайты.
В профессиональных чатах уже обсуждают возможное появление нового раздела в системе Госуслуг — «Мои уязвимости». Предполагается, что администраторы смогут увидеть перечень установленного ПО, сроки обязательных обновлений и количество дней, оставшихся до принудительного отключения. Для систем, работающих под управлением CentOS 6, интерфейс сразу будет показывать соболезнования.
Шутка.
А можно не подсказывать?
Зачем соболезнования свежим системам вывешивать? Походят ещё, работает не трожь!
И внесение изменений в КоАП и УК, о введении ответственности за деяния или бездействие, предусмотренное соответствующими статьями.
Ожидается шквал амплитудой 9.2 балла по шкале CVSS: На регион надвигается циклон PHP2Shell. Синоптики из НКЦКИ объявили штормовое предупреждение: рекомендовано плотно закрыть порты, объявить штормовую готовность и развернуть зонтики в виде бэкпортов от Ондржея Суры. 🤡
срочно обновить PHP до версии 5.4
На сайтах или прямо разработчикам языка?
А что, это вариант, предписание The PHP Foundation в срок до вечера вчера обновить PHP популярных веток так, чтобы такие атаки не проходили, и написать обяснение, с какой целью ненадежный код был вкючен в релизы (список релизов за все годы).
А далее штраф за каждый день просрочки, запрет на выезд из страны проживания и прочие бюрократически красивые, но бесполезные меры.
Где-то у меня лежала книга Котерова "PHP 5"... Ностальгия)
PHP обновлять уже не модно. Сейчас полетели письма от ЦМУ ССОП с требованиями срочно обновлять Гитлаб в связи с уязвимостью CVE-2026-110264. Обновление гитлаба как раз 21-го вышло.
Их можно игнорить? Какая ответственность за отказ выполнять эти письма?
Если их пару дней игнорить, то они заваливают е-майлами. Про ответственность не знаю, но проверять не себе не хочу.
Пока речь идёт об организациях критической инфраструктуры, а не обо всех владельцах российских сайтов. Тем не менее направление развития заслуживает внимания: государственная координация кибербезопасности всё теснее соприкасается с повседневной эксплуатацией программного обеспечения.
Такое уже давно происходит и не только в РФ, но и во всех странах СНГ. Есть официальный перечень критической инфраструктуры, есть ответственные за их эксплуатацию организации, есть список мер по уменьшению компрометации инфраструктуры, есть порядок действий, если компрометация произошла и прочее.
Есть регулятор, который периодически делает рассылку о наиболее опасных уязвимостях и публикует варианты их устранения, а также может ответить на нужные вопросы. Если организация не может самостоятельно устранить проблему, то ей в помощь могут выделить несколько компаний, специализирующихся на ИБ.
В общем, это не вчера возникло и не сегодня. Уже есть не только работающий механизм, но и вся нужная правовая база, где прописан весь порядок действий, уровни ответственности, сроки устранения проблем и наказания.
Всё вышеописанное, касается только тех объектов, которые входят в список (реестр) критической инфраструктуры, например, мобильная связь, интернет, электронное правительство, системы электронных платежей, доменные зоны RU, РФ, водоснабжение, энергетика и т.д.
Обычных пользователей и владельцев простых сайтиков это не касается.
Обычных пользователей и владельцев простых сайтиков это не касается.
А вот не факт - пришло официальное уведомление, ты ничего не сделал, данные утекли - показательная порка оборотным штрафом...
А плохое будет?
С каких пор показательные порки вместо нормальной системной работы стали хорошими?
▩ - квадратно-гнездовой способ. Работает, когда не работет ничто другое! :-) по крайней мере в эту убеждённость всегда порождает след от фуражки на мозгах
А это не вы жаловались, что маловаты штрафы за утечки?
Нормально работать должны те, кто допускают утечки, а нормальная работа органов в таком случае - сурово наказать.
"Если организация не может самостоятельно устранить проблему..." - что-то мне это напоминает.
Можно там временно ввести внешнее управление ...
Они то смогли воспользоваться уязвимостью, или не хватило мозгов? Слышу звон, но не знаю где он....
Учитывая что большинство зарубежных сайтов, которые я посещаю, в панике в один день закрылись на обслуживание, я бы в этот раз прислушался к ФСБ
1C-Битрикс со своим платным саппортом знатные говноеды конечно, поискать таких еще даже на нашем рынке. Последняя капля была несколько лет назад -- купил 1с Бухгалтерию проф вместо стандартной, 1с на проф обновляться не захотела, что-то там с конфликтом версий произошло судя по ошибке. Пишу им в саппорт, мол так и так, не ставится, помогите. Приходит ответ, мол для помощи переходите на 1с-ИТС (тариф с платной поддержкой). Отвечаю, что вы не поняли наверное, у меня нет вопросов к вашему платному саппорту по нюансам работы, или обновлениям, у меня проблема в том, что ваше ПО не ставится по вашей же инструкции. Мне опять отвечают про платную поддержку. После еще двух итераций, когда речь уже о досудебке пошла, т.к. товар очевидно некачественный, нельзя пользоваться, соизволили разобраться и выяснили, что косяк на их стороне, что-то там с привязкой лицензии к пользователю пошло не так. После этого логично решил, что с продукцией этой компании больше ничего общего иметь не хочу. Могу только посочувствовать всем тем, кто этим еще пользуется и сейчас попадет на покупку платного саппорта
Мне это эвотор напомнило. Как сейчас не знаю, но несколько лет назад сталкивался с проблемами, которые совершенно точно на их сервере. И мне, когда написал им на почту о том что у них баги и даже расписал их, безальтернативно предложили купить платную подписку.
Да и сейчас они те же огурцы. Ранее бесплатные функции регулярно переводят в платные. К примеру базовая функция локальной приёмки товара напрямую на кассе, требует ежемесячной платы. То что я уже плачу за их товароучётную систему, их не волнует. Да и в остальном, оплата буквально за любой чих. И преимущественно подписка, хотя необходимости в ней никакой нет.
Какое отношение 1С-бухгалтерия имеет к фсб, php или битриксу? Понимаю, что наболело, но это четыре разных конторы <censored>
Пока о потенциальных сроках ничего не писали. А то тема быстрая, валандаться нет возможности: ночь прилетит рекомендация, утром - указание, а к вечеру директор компании и админ уже сидят на сроки больше, чем время поддержки этой ветки php...
Я вдруг понял, что очень часть слева теперь - это я, а справа - Claude Code...
Ничего себе, сказочку-то как поменяли...
Да, я в гостях был, когда выпустили заплатку - просто со смартфона в Codex залез и сказал ему "обновляй PHP на исправленную версию на всех серверах, до которых дотянешься". :)
А потом видим такие новости:
Разработчик стартапа остался без продакшн-инфраструктуры из-за Claude Code
Как Cursor с Claude Opus снёс продакшен базу данных за 9 секунд
и прочие.
Не то чтобы я вашему сетапу не доверяю, конечно )
apt install unattended-upgrades
когда выпустили
Эх, если бы все было так просто. До php в контейнерах эта штука не дотянется, и репу с подтухшего sury на что-то актуальное с бекпортами тоже не поменяет.
Ну вот репу подправить вроде несложно.
А sury выложил новые версии.
Не сложно. Написать в Codex "сделай хорошо" еще проще.
PHP 8.3.9 is running Nextcloud and Pterodactyl. I’m checking a move to Ubuntu’s maintained PHP 8.3 packages.
The update simulation succeeds with Ubuntu’s PHP 8.3 security build,
8.3.6-0ubuntu0.24.04.13: 20 PHP packages would change, with none added or removed. Ubuntu keeps the older version number and backports the fixes.
обновлявывай!
А могли бы взломать эти сайты и обновить пхп сами.
WAF не поможет?
Никаких средств митигации нет, только отключение или обновление?
от конкретных эксплойтов - прямо отдельных бинарных потоков данных - поможет. но эксплойт можно сделать по разному. а с нейронками и подавно.
Сказали обновить - надо обновить, а не вафы эти ваши!
По WAF пока не видел. Но в любом случае уязвимость нужно закрывать.
Либо отключение multipart/form-data на уровне веб-сервера (ломает загрузку файлов).
Либо установка memory_limit в -1. Если софт не течёт, то какое-то время на этом прожить можно.
Учитывая, как работает управление уязвимостями в операторах КИИ, давно пора такую практику внедрить.
Сегодня reg.ru на виртуальном хостинге обновил версию PHP до 8.5.12. Ещё вчера у меня отображалась версия 8.5.10, выбрать новее было нельзя.
Вы можете мне обяснить откуда такая паника? У людей что, пых-пых под рутом пашет, в не под урезанным со всех сторон пользователем (даже в докере)? Как можно давать чему-то получающему комманды из веба (а это, в частности - любой веб-сайт, на любой платформе) давать сколько-нибудь значимые права в системе? И оставлять без “прикрытия” снаружи (вроде фаерволов и т.п.)?
Ну вот не рут он и не порушит систему, но доступ к тому, к чему имеет доступ пыха у него появится, очень мало приятного.
Интересно, а как фаервол поможет в такой ситуации?
Ну даже без прав, есть доступ до данных, БД.
Вообще мне на моем компе важнее если украдут удалят домашнюю папку /home, в системных нет ничего важного.
Если PHP работает с данными пользователей, то он имеет к ним доступ. Тут хоть как права и файерволы унастраивайтесь, но эти данные через дыру всё равно украдут. И платёжные креды тоже, если сайт это магазин и принимает платежи,
А где в письме от НЦКИ есть требование отключения? Я вот прямо сейчас на него смотрю, вижу только рекомендацию обновиться, при невозможности - принять временные компенсационные меры.
Интересно, а сколько лет это молча эксплуатировали всякие moccады разных стран по миру?)
Реестр владельцев ПХП пора создавать, Комиссию по проверке апдейтов, Институт Гипертекстового процессинга. Столько интересных идей...
Обновите PHP, а то мы вас накажем. Или отключите сервера КИИ.
Отключили сервера? Нарушили работоспособность КИИ, мы вас накажем.
Казалось бы есть всякие системы противодействия угрозам. Те самые DPI, которые делают сервера Youtube устаревшими.
Могли бы использовать их для противодействия угрозе взлома серверов через PHP. Как будто это прямое назначение таких систем.
Только прочитайте правильно, пожалуйста. Не сервера с php блокировать, а тех, кто эксплуатирует уязвимость.
Как красиво бы получилось. Появилась уязвимость - а ее эксплуатация блокируется в стране на государственном уровне. Как будто именно это обещали.
И тогда граждане, которые сами не могут позаботится о своей безопасности, могли бы бы спокойно спать. В том числе с уязвимыми PHP, потому что находятся под защитой государства.
Вы что хотите? Чтобы в стране начал нормально работать хоть один механизм? Статус иноагента захотели?. Видя живой пример, народ захочет чтобы и другие механизмы начали работать нормально, на благо народа, а не "непонятно" кого.
Не-не, Вы что! Вот, говорят, Силуанов выразил мысль, что недовольные программисты и ИТ-ники уже даже почти вернулись, что им заходит со страшной силой!
Все всем довольны, никаких вопросв, просто выше в комменет человек, заметьте, ИТ-ник, специалист в теме, просто предлагает еще потратить охулиард на развитие замедлителей, а пока их будут развивать - обновляйтесь, товарищи!
Шутка
Правильнее всего отключить просто всем интернет. Нет Интернета - нет угроз (если что это сарказм).
А по факту - вам бы вначале почитать, что такое DPI и как его применяют.
Кстати, а кто помнит на каком языке написан Nextcloud?
Ну тот, который "просто поставьте из докера"?
И если за своевременностью обновлений действительно начнут следить не только администраторы и специалисты по информационной безопасности, но и государственные ведомства, останется выяснить главное: будут ли последние ограничиваться рекомендациями и контролем или предложат способ решать связанные с обновлениями технические и финансовые проблемы (скажем, решить вопрос, кто будет оплачивать продление лицензий на коммерческую CMS, если установка безопасной версии PHP потребуется обновление версии самой CMS).
Вот этот момент непонятен.
Почему сам владелец ИС допускает подключение к Интернету необновляемой системы?
И почему за него кто-то должен решать его проблемы, которые он не "не может", а именно что "не хочет" решать? Потому что оставляя подключенной к Интернету необновляемую и/или неподдерживаемую системой - он заведомо идёт на риск, что рано или поздно там обнаружится уязвимость, которую он не сможет закрыть патчем для этой системы.
Это ж не внутренняя технологическая система в изолированной от Интернета, и локалки тоже, сети, с ограниченным доступом к ней.
Вот есть более интересный вопрос - а трясут ли владельцев КИИ в целях профилактики недопущения наличия у них подключенных к Интернету необновляемых по разным причинам систем? Или трясут только когда что-то случилось?
Если хотят, то трясут. И даже два раза
Первый раз за то, что установил не сертифицированное ФСТЭК обновление (сертификация занимает от примерно месяца до полугода)
А второй раз за то, что не установил.
Ну или в другом порядке.
А вот это уже гораздо интереснее, чем исходный вопрос "у меня необновляемое приложение в Интернет торчит, потому что не хочу платить за обновления и/или не хочу тратить деньги на миграцию на обновляемое приложение, кто заплатит за то, чтобы я его обновил?"
И что, кстати, предлагают на случай "обновить надо срочно, а обновление пока еще не прошло сертификацию"?
«Только бы за ночь из органов не прислали указание срочно обновить какую-нибудь софтину, причём срочно».
Варианта "а давайте уже сажать рукожопов, которые пишут кривой код, приводящий к таким убыткам" ещё нет?
Ну, ок, подождём следующего раза.
Само требование своевременно устранять критические уязвимости вполне обоснованно. Однако между выпуском исправления и его безопасным внедрением на промышленной системе нередко лежат тестирование совместимости, резервное копирование, согласование окна обслуживания и, в случае коммерческого ПО, дополнительные расходы. Письмо с требованием срочно обновиться этих задач не решает.
Странно ставите вопрос. Ну не обновляйте. Легче станет? Подождите пока персуху у вас уведут или нанесут иной вред бизнесу. А сейчас легче стало?
Меня иногда поражает вот эта постановка вопроса - а кто платить будет?
Да никто. И закрывать вас никто принудительно не будет. Просто извне школьник какой нибудь расковыряет ваш бизнес отверткой и gg wp.
А вы и дальше спрашивайте кто это оплатит.
Индусские разработчики PHP с синдромом СДВГ специально делают каждую следующую версию чут чуть, но несовместимую с предыдущим. Как в прочем практически во всём Open Source, когда в угоду "своим" (а не бизнеса) хотелкам ломают совместимость ради своих эфимерных целей. Особенно смешно про порядок аргументов в вызовах фунциях.
Из-за чего тупо обновление ради безопасности с 5.6 на 8 вызывает переписывание практически всего кода.
В отличие от крового энтерпрайза (M$ и прочие), где совместимость на уровне языка есть даже спустя 20 лет.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
НКЦКИ при ФСБ потребовал срочно обновить PHP. Тем, кто не успевает, предложено отключить сайты