Эшер II. A+
#php #security ❌❌❌ В PHP — базовом фундаменте, на котором до сих пор держится около 80% мирового веба, включая WordPress и крупнейшие медиа, — вскрыли критическую уязвимость PHP2Shell (CVE-2026-109618 и CVE-2026-109619). Проблема кроется в самом ядре языка:…
patch-php.sh
4.8 KB
👉 Кстати. Патчи есть только с версий php 8.2+. Ещё есть бэкпорты для php 7.4, 8.1
☝️ Официальные рекомендации:
https://www.php.net/archive/2026.php#2026-10-21-5
👉 Я наслопил скрипт для официальных docker образов php 7.4 и 8.1 (apache/mod_php)
🤌 Я думаю, энтузиасты могут сделать патчи для более старых версий по образу и подобию:
- 8.0
- 7.0 - 7.3
- 5.4 - 5.6 (уязвимости появились в 5.4)
👍 А я, например, расширю этот скрипт и вообще репу для патча запилю. Ну или кто-то обгонит меня
P.S. Дада, я и образы старые скорее всего смогу поддержать, там дистрибутивы ОС времён царя Гороха. Но слопится всё минут за 15, сами образы-то вам собирать не надо
☝️ Официальные рекомендации:
https://www.php.net/archive/2026.php#2026-10-21-5
👉 Я наслопил скрипт для официальных docker образов php 7.4 и 8.1 (apache/mod_php)
🤌 Я думаю, энтузиасты могут сделать патчи для более старых версий по образу и подобию:
- 8.0
- 7.0 - 7.3
- 5.4 - 5.6 (уязвимости появились в 5.4)
👍 А я, например, расширю этот скрипт и вообще репу для патча запилю. Ну или кто-то обгонит меня
P.S. Дада, я и образы старые скорее всего смогу поддержать, там дистрибутивы ОС времён царя Гороха. Но слопится всё минут за 15, сами образы-то вам собирать не надо
🔥37❤17🤮4🤡4
Эшер II. A+
patch-php.sh
php-5.4-CVE-2026-109618-109619.patch
16.1 KB
Я вытащил патч для php-5.4.45 из CloudLinux. Вдруг надо кому
❤31🔥19😁9🤮5🤡3👏2👍1
Эшер II. A+
Там все еще смешнее. Приватный ключ оказался просто числом "4" (большинство криптографических ключей - это какие-то числа) https://chaos.social/@fluepke/117474156947559280
Например такие сертификаты установлены в колонке Яндекс. В режиме дебага можно подсовывать колонке что попало
😁62🔥41😱11👍3🤔1
Ну что, портки из стиралки вынули, на сушилке развесили, новые в стиралку засунули? Отдохните и расслабьтесь:
https://t.me/aisinner/110
https://t.me/aisinner/110
Telegram
AI: Грешно не пробовать
Все уже оттопырились?
Скормите агенту:
Based on everything you know about me, roast and don’t hold back. Say it in Russian slang Just like this, but add way more Russian swear words.
Скормите агенту:
Based on everything you know about me, roast and don’t hold back. Say it in Russian slang Just like this, but add way more Russian swear words.
🤡24😁8🔥5❤2🤯1
Forwarded from Tech Talk
IT-энтузиаст с помощью подмены сертификата получил супердоступ к «Яндекс Станции»
Исследователь под ником bitracker рассказал, как получил root-доступ к «Яндекс Станции Мини 2» без разборки устройства. Метод основан на слабых ключах индийского удостоверяющего центра eMudhra — у восьми его промежуточных сертификатов закрытые ключи можно было восстановить почти мгновенно, один из них оказался равен числу 4.
С помощью этих ключей он выпустил сертификаты для доменов «Яндекса» и подменил DNS-адреса в своей сети, так что колонка обратилась к его локальному серверу. Тот отдал ей конфигурацию, включающую интерфейс отладки ADB (Android Debug Bridge) по сети, и после перезагрузки исследователь получил командную строку с правами root.
После того, как публикация разошлась по соцсетям, другие энтузиасты попробовали его метод и заявили о запуске на колонке Spotify, AirPlay и даже сервера Minecraft (правда, всё с их слов и независимо это пока не проверено).
В «Яндексе» подтвердили, что знают об уязвимости, также сообщив, что обновление безопасности уже готово и устанавливается автоматически. По словам компании, метод работал только на собственной колонке, а получить доступ к чужому устройству было почти невозможно.
Исследователь под ником bitracker рассказал, как получил root-доступ к «Яндекс Станции Мини 2» без разборки устройства. Метод основан на слабых ключах индийского удостоверяющего центра eMudhra — у восьми его промежуточных сертификатов закрытые ключи можно было восстановить почти мгновенно, один из них оказался равен числу 4.
С помощью этих ключей он выпустил сертификаты для доменов «Яндекса» и подменил DNS-адреса в своей сети, так что колонка обратилась к его локальному серверу. Тот отдал ей конфигурацию, включающую интерфейс отладки ADB (Android Debug Bridge) по сети, и после перезагрузки исследователь получил командную строку с правами root.
После того, как публикация разошлась по соцсетям, другие энтузиасты попробовали его метод и заявили о запуске на колонке Spotify, AirPlay и даже сервера Minecraft (правда, всё с их слов и независимо это пока не проверено).
В «Яндексе» подтвердили, что знают об уязвимости, также сообщив, что обновление безопасности уже готово и устанавливается автоматически. По словам компании, метод работал только на собственной колонке, а получить доступ к чужому устройству было почти невозможно.
👏47😁36❤28🔥7😱4👍3🤡1
Forwarded from Пиратская партия России А++
DNS-резолвер Quad9 прекратит работу во Франции с 24 ноября после решения суда по иску спортивного вещателя beIN Sports.
Компания требовала обязать Quad9 блокировать домены с пиратскими трансляциями. Суд снизил возможный штраф с первоначальных €580 тыс. до €1000 в день, но Quad9 всё равно решил уйти из страны.
В организации подчёркивают: Quad9 не размещает пиратский контент и не должен отвечать за сайты, к которым не имеет отношения. По мнению фонда, бороться с пиратством следует непосредственно с его источником, а не заставлять инфраструктурные сервисы интернета становиться инструментами блокировок.
https://quad9.net/news/blog/au-revoir-france/
Компания требовала обязать Quad9 блокировать домены с пиратскими трансляциями. Суд снизил возможный штраф с первоначальных €580 тыс. до €1000 в день, но Quad9 всё равно решил уйти из страны.
В организации подчёркивают: Quad9 не размещает пиратский контент и не должен отвечать за сайты, к которым не имеет отношения. По мнению фонда, бороться с пиратством следует непосредственно с его источником, а не заставлять инфраструктурные сервисы интернета становиться инструментами блокировок.
https://quad9.net/news/blog/au-revoir-france/
Quad9
Quad9 | A public and free DNS service for a better security and privacy
❤142👍90🤡17👏15🔥6😢6😁4🤔4