P.S. Я всё ещё про управление информацией. Про политику я даже не начинал

#regulation Что-то давно мы в руки шашек не брали. Тут Минцифры готовит новый законопроект по Антифроду:
https://regulation.gov.ru/projects/171465/

🤷‍♂️ Там в том числе опять поправки в многострадальный закон от 27 июля 2006 года № 149-ФЗ «О запрете информации»

👋 Я честно хотел написать только про VPN, но начал читать и цеппелинами подавился

Владелец сайта и (или) ..<перечисление вариаций сайта>.., осуществляющий свою деятельность в сети «Интернет» на территории РФ, в случае, если доступ к информации, размещенной на его сайте и (или) ..<перечисление вариаций сайта>.., предоставляется пользователям, прошедшим авторизацию, обязан....

... и дальше — хранить три месяца регистрации, авторизации, авторизовать только через Госуслуги, телефон или условно VK

Ну т.е. формально закрыть страницу паролем теперь нельзя будет. Нет, они знают о различии терминов — дальше будет использована и аутентификация. Ну страница ладно, все законы РФ хороши (нет) тем, что их исполняют очень по мотивам. Но вот все мелкие форумы, вики, вордпрессы — все могут пострадать. Представляете на миллион сайтов внедрить аутентификацию?

Дальше позволю себе вольную цитату, вырезав псевдоканцелярит

5^3. Роскомнадзор ведет в порядке, определенном Правительством России, реестр лиц, размещающих на вычислительных мощностях провайдеров хостинга ресурсы (я тут немного сократил), посредством которых обеспечивается доступ к информационным ресурсам, доступ к которым ограничен на территории России в соответствии с настоящим ФЗ, владельцы которых не выполнили требования, установленные пунктом 1 части 7 статьи 15^8 настоящего ФЗ. Правительство России определяет состав информации, подлежащей включению в указанный реестр.

Тут всё довольно просто — поставил VPN, тебя нашли и занесли в реестр. Ну т.е. закон против меня. Да, для тех, у кого есть терминация внутри России
* Как будут находить?
* Как будет осуществляться связь с пользователем услуги?
* Как выйти? (никак)

В сокращенном списке есть "сайт". Т.е. явно собрались информацию о VPN тоже под этот реестр подвести лёгкой схаластикой

5^4. Провайдер хостинга при наличии информации, содержащейся
в реестре, предусмотренном частью 5^3 настоящей статьи, не может осуществлять деятельность по предоставлению вычислительной мощности для размещения информации в информационной системе, постоянно подключенной к сети «Интернет», лицам, содержащимся в указанном реестре и обратившимся к провайдеру хостинга в течение одного года с момента включения такой информации в реестр.

А кто попал в реестр — отлучение на год от российского хостинга
* А взлом? Ну вот взломали и проксю поставили — тысячи таких. Полетели все частные ресурсы? Да, мне понятно, что "системообразующие компании не пострадали". У них всё так
* А Конституция? Это не КоАП, а почему-то умаление прав. Причём граждан. Причём основных прав.

👉 Ну и осуществлять проверки и мониторинг будет ГРЧЦ. Тут всё понятно

😱 Я там выделил 15 в степени 8 статью в законе «О запрете информации». Это про VPN, их обязанность выполнять требования по фильтрации и блокировку в противном случае. Знаете, сколько таких VPN заблокировано на сегодняшний день? 0 ровно. Ноль. Наташа-Ольша-Лена-Мягкий знак. Довольно интересно подтягивание понятных по смыслу норм к годами неработающей статье

🍁 Общественное обсуждение до 15 октября 2026
✅ Замечания сами себя не напишут. Само не спросится ни про тайну, ни про единую экономику, ни про процедуры
✅ Прочитал? Поставь 👎 проекту. Или лайк — как пойдет
✅ Почитал про Дудя? Зайди на портал и выскажись

👉 Ругаться там смысла нет. Но надо всегда помнить, что это читает кто-то ещё. И там борьба за кресла такая, что нам/вам и не снилась. Всегда можно подпилить ножки у пары стульев, разложить кнопки и насыпать соли в чай (вспомнил пионерское детство в лагере пионерского и комсомольского актива «Зеркальном», ага)
👉 Там есть где развернуться и без политических тематик, хотя и сложно. Одна авторизация чего стоит

⚔️ Погнали!

С точки зрения регуляторики ещё интересен следующий пассаж:

5^7. К проверке, предусмотренной частью 5^5 настоящей статьи не применяются положения Федерального закона от 31 июля 2020 г. № 248-ФЗ «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации.»;

Понятно, что эти проверки выведены из-под той статьи потому что они будут техническими. Но сам факт — кто-то видимо воспользовался пару раз в каких-то иных ситуациях

А давайте поговорим о дне, когда всё перестало работать. Пришельцы оптику порезали, дроны, шатдаун или Cам обратился. Что делать будем? Как напишем соседу, дочери, мужу?

👉 Вот например есть проект Qual:
https://qaul.net/

👉 Это универсальная P2P/mesh-сеть + приложения поверх неё. В основном пытается использовать готовые сети WiFi, где пользователи видят друг друга, или connection server (можно поставить у себя). Но может и в Bluetooth.

🤟 Вещь спорная. Но в случае "ничего не работает" — вполне оправданная.

👉 Код открытый. Можно поучаствовать. Иногда сыровато. Но всё можно поправить. Есть мобильные приложения и десктопные. Основной разработчик — Матиас — это всегда заряд бодрости и сокрушительная улыбка

👍 Рекомендую!

Что я забыл сказать

Этим надо пользоваться сейчас, пока все работает. Пытаться что-то поставить и найти связи, когда все упало – может быть поздновато

Если что, я – не военкор. Новости про то, кто кого разбомбил – out of scope.

Трагедия развивается на постсоветском пространстве. В VMmanager/DCmanager (популярные на постсоветском пространстве продукты ISPsystem) целый ряд дыр с полным доступом. Срочный патч три-четыре дня назад проблему не решает. Предупреждали ещё 14 октября. Но дыра всё ещё там. Начали ломать даже крупных хостеров

Рекомендация: временно ограничить доступ к сервисам VMManager/DCmanager

c CVE-2026-99999 это не связано. у firstvds как и других юзеров взлом произошел через vmmanager 6. там дырка которая позволяла через ссылку на iso передать еще и команду которую без проблем от root выполняла панель... а дальше только фантазия о том куда с главного сервера можно идти по нодам

Некоторые даже предлагают «патч Бармина», чтобы это ни значило

Я должен оговориться и принести извинения. В изначальном посте я приписал продукты к ispmanager, но 4 года назад компания разделилась, и ISPsystem разрабатывает VMmanager и DCmanager, которые подвержены уязвимости. А ispmanager разрабатывает ispmanager, он этой уязвимости не подвержен.

Суть вопроса это не меняет, но бросает тень на совершенно непричастных людей и компанию. Приношу свои извинения и исправляюсь

Уголок чёрного юмора

Тут прямо кучно пошло:
https://emudhra.we-have-a-problem.com/

Вкратце, утверждается, что скомпроментирован сертификат одного из удостоверяющих центров, которым пользуются браузеры и ОС

... и конкурсы интересные

Новости читать невозможно. Это причем какой-то российский тренд. А какой туалетной бумагой селебрети пользуются до обеда, а какой после? Мне интересно. И дейлики сисадминов госуслуг можно транслировать? Ё-мое...

Надо навайбкодить плагин к телеге и браузеру, чтобы скипал новости, когда какие-нибудь вешалки для галстуков куда-нибудь приезжают. Или обращаются. Вне зависимости от того, в кого они там обращаются

Там все еще смешнее. Приватный ключ оказался просто числом "4" (большинство криптографических ключей - это какие-то числа)

https://chaos.social/@fluepke/117474156947559280

#php #security ❌❌❌ В PHP — базовом фундаменте, на котором до сих пор держится около 80% мирового веба, включая WordPress и крупнейшие медиа, — вскрыли критическую уязвимость PHP2Shell (CVE-2026-109618 и CVE-2026-109619). Проблема кроется в самом ядре языка: атакующему не требуются пароли или учетные записи, достаточно отправить специально сформированный сетевой запрос, чтобы получить полный контроль над сервером. Текущие перебои в работе сайтов по всему миру вызваны превентивной паникой: Агентство национальной безопасности США в экстренном бюллетене (https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-php-updates/) рекомендовало немедленно установить обновления либо попросту изолировать уязвимые серверы от сети, о чем подробно сообщает The Guardian (https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world)

✅ Мы определенно живем в интересные времена. Прогресс не остановить, и искусственный интеллект здесь выступает обоюдоострым оружием: нейросети с пугающей эффективностью автоматизируют поиск таких брешей, превращая атаку в вопрос минут, а не месяцев ручного анализа. Впрочем, этот же технологический скачок дает и главное преимущество защите — те же алгоритмы способны на лету выявлять аномалии и генерировать патчи быстрее живого специалиста. Баланс хрупок.

☝️ Кстати о цензуре ИИ. Запреты флагманским американским моделям проводить секьюрити аудит играет на руку хакерам, которые пользуются локальными или китайскими моделями без таких ограничений. Классика сайд эффекта от запрета показывать сиськи

На wiki: https://ru.wikipedia.org/wiki/PHP2Shell

👉 Кстати. Патчи есть только с версий php 8.2+. Ещё есть бэкпорты для php 7.4, 8.1

☝️ Официальные рекомендации:
https://www.php.net/archive/2026.php#2026-10-21-5

👉 Я наслопил скрипт для официальных docker образов php 7.4 и 8.1 (apache/mod_php)

🤌 Я думаю, энтузиасты могут сделать патчи для более старых версий по образу и подобию:
- 8.0
- 7.0 - 7.3
- 5.4 - 5.6 (уязвимости появились в 5.4)

👍 А я, например, расширю этот скрипт и вообще репу для патча запилю. Ну или кто-то обгонит меня

P.S. Дада, я и образы старые скорее всего смогу поддержать, там дистрибутивы ОС времён царя Гороха. Но слопится всё минут за 15, сами образы-то вам собирать не надо

Я вытащил патч для php-5.4.45 из CloudLinux. Вдруг надо кому