4

PHP-апокалипсис: хроники бессонных ночей⁠⁠

PHP-апокалипсис: хроники бессонных ночей

Двадцать первое октября две тысячи двадцать шестого года я запомню надолго. В этот день мир узнал, что PHP, основа миллионов сайтов, оказался критически уязвим. Экстренный апдейт стал вопросом выживания для любого проекта в сети.

Для нас, веб-разработчиков, это был настоящий мрак и катастрофа. У многих клиентов есть старые ресурсы, которые не обновлялись годами. Для них обновление ядра языка программирования равносильно смерти всего сайта.

Таких «проблемных» клиентов у меня оказалось ровно тридцать два. Я трое суток почти не спал, глотая литры кофе. Мой рабочий стол превратился в штаб по спасению цифрового наследия.

На одном старом интернет-магазине пришлось написать кучу кода-костылей. Представь, там версия PHP застряла где-то в районе седьмой! Но я справился, и их продажи не рухнули в бездну.

А были клиенты, у которых ничего не обновлялось десятилетиями. Там PHP остановился на 5-ой версии.

Чтобы понять серьёзность, просто знай: в Европе до сих пор многие государственные сайты отключены. Они ушли в оффлайн, чтобы сохранить данные в безопасности. Интернет хорошо так тряхнуло, это был не рядовой баг.

Но теперь можно выдыхать, по крайней мере, пока. Все тридцать два проекта моих клиентов снова в строю и работают. Эта неделя точно войдёт в историю моего личного пантеона стресса.

Web-технологии

559 постов5.8K подписчиков

Правила сообщества

1. Не оскорблять других пользователей

2. Не пытаться продвигать свои услуги под видом тематических постов

3. Не заниматься рекламой

4. Никакой табличной верстки

5. Тег сообщества(не обязателен) pikaweb

Вы смотрите срез комментариев. Показать все
0
Автор поста оценил этот комментарий
Для тех кто не очень в теме можно пояснение? Php это же вроде бы язык программирования. В чем именно этот мегакосяк?
раскрыть ветку (5)
1
Автор поста оценил этот комментарий

php не только язык, но и среда его выполнения. На каждом сервере где используется этот язык стоит соответственно сама среда. Среда имеет разные версии, которые завязаны, в том числе, на синтаксис языка. Так вот в самой среде обнаружилась дыра (наверняка не без помощи ИИ). Чтобы закрыть дыру нужно обновлять среду, обновление есть только на некоторые последние версии, а сайт работает на старой и если просто обновить на свежую, сайт перестанет работать, так как код сайта старой версии частично не совместим с новой.

раскрыть ветку (1)
1
Автор поста оценил этот комментарий

Про ИИ полностью согласен. Буквально за несколько дней до этого серьезную дыру в VManager откопали. Да такую, что половина VPS залочили доступы в VM и DNS управлению. И тут же, находят такую дырку в PHP. Ощущение, что ИИ просто копается в сервере и выискивает что и где.

Причем, уязвимость в PHP такая, что додуматься до нее еще надо было. Ох, толи еще будет...

0
Автор поста оценил этот комментарий

Да, это язык программирования. На котором написано 85% всего в Интернете. В нем была обнаружена уязвимость, которая позволяла злоумышленникам, очень легко получить полны доступ к серверу. А это значит, получить доступ ко всем данным на сервере, запускать там любые программы и совершать атаки со взломаных серверов. Вообщем, апокалипсис.


В течении дня выпустили обновление, которое закрывало эту уязвимость. Но это обновление устанавливалось не на все версии PHP. И чтобы решить проблему, нужно было старые сайты, проекты, системы и т.п. переносить на новую версию. А это равносильно разработки с нуля. Поэтому пришлось изобретать костыли, чтобы хотя бы временно спасти то, что перенести быстро нельзя и переносить то, что перенести можно.


Это если очень утрированно и кратенько.

раскрыть ветку (2)
0
Автор поста оценил этот комментарий
Утрировано и кратенько понятно, не понятно, что значит уязвимость в языке. Секретная команда дающая доступ к коду сервера или что? В чем суть косяка то, если php это по сути набор команд, которые каждый разработчик расставляет в нужном ему порядке?
раскрыть ветку (1)
0
Автор поста оценил этот комментарий

Конкретно в данном случае, уязвимость была связана с неправильной пост обработкой памяти, в которую писались запросы с сайта и которая давала возможность запустить вредоносный код, в обход авторизации, прямо на сервере, отправив его из вне.

Вы смотрите срез комментариев. Чтобы написать комментарий, перейдите к общему списку

Темы

Политика

Теги

Популярные авторы

Сообщества

18+

Теги

Популярные авторы

Сообщества

Игры

Теги

Популярные авторы

Сообщества

Юмор

Теги

Популярные авторы

Сообщества

Отношения

Теги

Популярные авторы

Сообщества

Здоровье

Теги

Популярные авторы

Сообщества

Путешествия

Теги

Популярные авторы

Сообщества

Спорт

Теги

Популярные авторы

Сообщества

Хобби

Теги

Популярные авторы

Сообщества

Сервис

Теги

Популярные авторы

Сообщества

Природа

Теги

Популярные авторы

Сообщества

Бизнес

Теги

Популярные авторы

Сообщества

Транспорт

Теги

Популярные авторы

Сообщества

Общение

Теги

Популярные авторы

Сообщества

Юриспруденция

Теги

Популярные авторы

Сообщества

Наука

Теги

Популярные авторы

Сообщества

IT

Теги

Популярные авторы

Сообщества

Животные

Теги

Популярные авторы

Сообщества

Кино и сериалы

Теги

Популярные авторы

Сообщества

Экономика

Теги

Популярные авторы

Сообщества

Кулинария

Теги

Популярные авторы

Сообщества

История

Теги

Популярные авторы

Сообщества

Недвижимость и ремонт

Теги

Популярные авторы

Сообщества