За неделю в PHP обнаружили три уязвимости. Если оглянуться на волну заявлений на прошлой неделе в духе «наш проект не использует PHP, средства в безопасности», всё это больше похоже на конкурс по составлению отказов от ответственности.
Фонд PHP сообщил о третьей уязвимости, позволяющей удалённо выполнять код, — CVE-2026-115560. Она затрагивает небольшое число конфигураций, в которых обработчик сериализации переключается во время выполнения. Временное решение — установить для session.upload_progress.enabled значение 0. До этого, 21 октября, экстренно закрыли CVE-2026-109618 и CVE-2026-109619 с оценкой CVSS 9.2: для атаки даже не нужно входить в систему.
То, что смарт-контракт не использует PHP, ещё не означает, что вы в безопасности. Вы не знаете, что работает за открытым вами официальным сайтом, панелью управления проекта или страницей «забрать аирдроп», ссылку на которую прислал вам KOL. PHP лежит в основе примерно 70% сайтов, а число попыток атак уже исчисляется миллионами. Крупных краж пока не подтверждали, но такие истории обычно развиваются так: сначала всё тихо, а потом внезапно что-то происходит.
Поэтому на этой неделе, если кто-то в чате кричит «срочно переводите активы», я по умолчанию считаю его мошенником. То же касается и официального аккаунта проекта: сначала проверьте информацию по другим каналам.
#网络安全 #Фишинг
Фонд PHP сообщил о третьей уязвимости, позволяющей удалённо выполнять код, — CVE-2026-115560. Она затрагивает небольшое число конфигураций, в которых обработчик сериализации переключается во время выполнения. Временное решение — установить для session.upload_progress.enabled значение 0. До этого, 21 октября, экстренно закрыли CVE-2026-109618 и CVE-2026-109619 с оценкой CVSS 9.2: для атаки даже не нужно входить в систему.
То, что смарт-контракт не использует PHP, ещё не означает, что вы в безопасности. Вы не знаете, что работает за открытым вами официальным сайтом, панелью управления проекта или страницей «забрать аирдроп», ссылку на которую прислал вам KOL. PHP лежит в основе примерно 70% сайтов, а число попыток атак уже исчисляется миллионами. Крупных краж пока не подтверждали, но такие истории обычно развиваются так: сначала всё тихо, а потом внезапно что-то происходит.
Поэтому на этой неделе, если кто-то в чате кричит «срочно переводите активы», я по умолчанию считаю его мошенником. То же касается и официального аккаунта проекта: сначала проверьте информацию по другим каналам.
#网络安全 #Фишинг