Для полного устранения угрозы разработчики после публикации бюллетеней на GitHub в 16:3...
Для полного устранения угрозы разработчики после публикации бюллетеней на GitHub в 16:34 мск выпустили защищённые версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также из-за критичности проблемы подготовили минимальные бэкпорты исходного кода для самостоятельной сборки снятых с поддержки веток PHP 7.4, 8.0 и 8.1. При этом старший ИБ-исследователь шведской компании Detectify Жовиан Жардим предупредил, что примерно половина всех PHP-сайтов (↔️миллионы ресурсов) до сих пор работает на устаревших версиях ниже 8.2 без штатных обновлений, а главный риск несут забытые системы вроде старых маркетинговых сайтов, панелей управления хостингом и устройств со встроенным PHP. Эксперты «Лаборатории Касперского» на портале Securelist рекомендуют администраторам провести полную инвентаризацию всех работающих на PHP систем в инфраструктуре, а организация The PHP Foundation особо предупредила пользователей популярного на RHEL-серверах (по уточнению Sansec) волонтёрского репозитория rpms.remirepo.net, что он не получит обновлений в день релиза, поэтому владельцам таких систем необходимо немедленно перейти на штатные пакеты дистрибутива или собрать интерпретатор из исходного кода. 👆Если мгновенная установка патча невозможна, то разработчики PHP и исследователи Calif рекомендуют в качестве частичной меры задать memory_limit = -1 через php_admin_value без права переопределения приложением, выставить session.upload_progress.enabled = 0 и fatal_error_backtraces = 0 (для ветки 8.5) с обязательным перезапуском всех рабочих процессов, а эксперты Sansec и ЛК советуют также заблокировать запросы multipart/form-data на веб-серверах Nginx и Apache (причём разработчик ядра PHP Джина Питер Баньярд подчеркнула, что одного отключения session.upload_progress.enabled недостаточно, и назвала самым надёжным вариантом до патча временное отключение сервера). ✋ @Russian_OSINT