PHP готовит экстренный релиз с двумя критическими уязвимостями
Upcoming Critical PHP Security Release
Команда безопасности PHP заранее предупредила о внеплановом релизе 21 октября 2026 года в 14:00 UTC: он закрывает две критические уязвимости, обе с оценкой CVSS v4.0 9.2. Всем пользователям PHP советуют подготовиться к обновлению заранее. Если детали уязвимостей станут публичными или появятся признаки их активной эксплуатации, релиз могут выпустить раньше. Список затронутых и исправленных версий обещают раскрыть вместе с релизом.
Мы оставляем за собой право выпустить релиз раньше, если детали любой из уязвимостей станут публичными или появятся свидетельства их активной эксплуатации в реальных атаках.
- devttyeu
@dang, если судить по циркулирующим слухам, это апокалиптично и заслуживает того, чтобы быть усиленным так, чтобы нужные люди увидели это до того, как станет слишком поздно.
CERT-EU даже предлагает изолировать любые системы, которые могут быть подвержены риску и не могут быть быстро пропатчены.
Спекуляции таковы, что затронутая подсистема выполняется до любого кода приложения и влияет на все установки по умолчанию.
- Numerlor
Ну, это примерно так плохо, как только может быть, так что, полагаю, интернет немного протестируют, а старые форумы превратятся в ботнет.
- unethical_ban
Слух о смягчении из других веток HN:
>Смягчение для затронутых версий — установить `session.upload_progress.enabled = Off` в php.ini
Это функция, которую моя вики не использует, так что, хотя я патчу как можно скорее, переключение этого бита мне не повредило. На самом деле, я, вероятно, мог бы просто выключить свой сервер на день...
редактировать: я просто выключил свою dokuwiki на день. Всё равно кроме меня ей никто не пользуется.
редактировать2: https://old.reddit.com/r/PHP/comments/1xb2utu/upcoming_criti...
Кто-то, утверждающий, что он releng для PHP, говорит, что настройки INI вас не спасут.