Re: Тема для розмов
frz написав:Критичні вразливості PHP: оновити негайно
21 жовтня 2026 року команда безпеки PHP повідомила про дві критичні вразливості віддаленого виконання коду (RCE), які можуть дозволити зловмисникам виконувати код на сервері без автентифікації.
- Вразливі усі PHP-інсталяції, що обробляють вебзапити, зокрема PHP-FPM, Apache `mod_php`, `php-cgi`, FrankenPHP та LiteSpeed. Найвищий ризик для Apache `mod_php`.
- Оновити PHP до однієї з версій: 8.5.12, 8.4.27, 8.3.36 або 8.2.35.
- CVE-2026-109618: помилка обробки нестачі пам’яті може спричинити пошкодження внутрішніх даних і RCE.
- CVE-2026-109619: використання застарілого глобального стану після звільнення пам’яті може спричинити RCE під час обробки наступних запитів.
- Якщо оновлення поки неможливе: вимкніть `session.upload_progress.enabled`, налаштуйте обмеження розміру POST-запитів, а для PHP 8.5 встановіть `fatal_error_backtraces=0`. Для першої вразливості також рекомендується `memory_limit=-1` із забороною перевизначення застосунком.
- Важливо: ці заходи лише зменшують ризик і не гарантують безпеки. Зміни конфігурації, які цього вимагають, застосовуйте до всіх робочих процесів після їх перезапуску.
- PHP 8.1 і старіші версії: більше не підтримуються безпосередньо проектом PHP. Перевірте наявність виправлень від постачальника дистрибутива або оновіть PHP до підтримуваної версії.Рекомендація: якнайшвидше оновити PHP, перезапустити всі відповідні служби та перевірити, що виправлена версія фактично використовується всіма вебворкерами. Не покладатися лише на тимчасові заходи захисту.
тобто небезбека для зовнішних віртуальних машин? для вбудованих в операційну систему небезпеки немає?
Хто його зна, що саме мається на увазі під "вбудовані в операційну систему".
Якщо що, я щойно оновив на всіх своїх компах, не лише на тих що світять веб сервером назовні. В убунті є для цього https://ubuntu.com/pro - але це насправді спосіб швидше пожежний, бо фікс залежить від команди ubuntu pro, а можна зробити оновлення самостійно.