Утром мне завалило твиттер, внезапно, новостями о PHP. PHP Foundation пишут об исправлении двух критических уязвимостей в ядре, обе с оценкой 9.2 из 10 по CVSS 4, а это очень много. Обе уязвимости позволяют выполнить произвольный код на сервере - одна из-за ошибки с переполнением, а вторая из-за того, что ядро может указывать на область памяти, куда указывать не должно. Сегодня в 14:00 UTC будет опубликован релиз с исправлениями, и команда PHP очень просит обновиться сразу после этого.
Чтобы понять масштаб проблемы - нужно понимать, что огромная часть бэкенда в интернете сейчас крутится на PHP. Большой процент - на старых версиях, и огромное число сервисов сегодня не обновится, а значит, потенциально, очередной рой агентов выполнит там произвольный код и в лучшем случае удалит базу или сольет данные. В худшем - украдет деньги или отключит какую-нибудь аппаратуру, которая ходит в этот бекенд.
Reuters пишет, что голландское агенство по кибербезопасности отключило свои сервисы в качестве меры предосторожности, следом за ними так же уже сделали несколько сайтов в Нидерландах, в том числе сайты нескольких больниц. Датская муниципальная компания Kombit тоже отключает свои сервисы, а в Финляндии перебои еще масштабнее - там отключили сайты органов власти до выхода исправления.
Чтобы вы понимали, на PHP сейчас работает, например, википедия, etsy, fandom и миллионы сайтов на wordpress и других движках. Я сам лично лет 5-7 назад писал на Symfony приложения с миллионами пользователей и биллингом.
Забавно, конечно, что обе уязвимости были найдены с помощью агентов, и скорее всего, эксплуатированы они будут тоже с помощью агентов, о чем мы очень скоро услышим.
Если у вас в компании есть проекты на PHP, а спойлер - в огромном количестве СНГ бигтеха и в частности финтеха, особенно старого, есть старые монолиты на PHP - сообщите своим безопасникам, что им нужно обновиться.