Профиль: Аноним (вход | регистрация) неRU opennet.me  
OpenNET

[ новости /+++ | форум | теги |    ]

Ещё одна уязвимость в PHP, в редких конфигурациях позволяющая удалённо выполнить код

23.10.2026 21:24 (MSK)

Разработчики проекта PHP предупредили о выявлении ещё одной уязвимости (CVE-2026-115560), которая потенциально может использоваться для удалённого выполнения кода на сервере при определённом редком сочетании нестандартных настроек (не в конфигурации по умолчанию) и выполняемого PHP-кода. Подробности о уязвимости намерены опубликовать после готовности очередных корректирующих выпусков PHP.

В качестве обходного пути защиты рекомендуется выставить в php.ini параметр "session.upload_progress.enabled=0", который также был рекомендован в качестве одной из мер блокирования прошлой критической уязвимости. Проблема проявляется при наличии в настройках параметра "session.serialize_handler", выставленного в значение "php_binary" или "php_serialize", и изменения этого парамтера в PHP-коде на значение "php" через функцию "ini_set()" на стадии до вызова функции session_start().

  1. Главная ссылка к новости (https://www.php.net/archive/20...)
  2. OpenNews: Для уязвимостей PHP2Shell анонсирован первый эксплоит, обходящий рандомизацию адресов
  3. OpenNews: Нарушения эмбарго и затягивание разработки патчей в ходе устранения уязвимостей в PHP
  4. OpenNews: Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления
  5. OpenNews: Уязвимость в PHP, потенциально позволяющая скомпрометировать любой PHP-сайт
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/66534-php
Ключевые слова: php
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (121) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 22:09, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +6 +/–
    В пятницу вечером я точно не пойду ничего патчить. Удачи понедельничному мне.
     
     
  • 2.2, Аноним (2), 22:12, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +8 +/–
    Пятничный отказался патчить - понедельничный будет разгребать последствия. Удачи!
     
     
  • 3.24, Аноним (24), 23:15, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +4 +/–
    Ага, щас. Субботний помятый и будет разбирать.
     
  • 2.3, Аноним (3), 22:16, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +4 +/–
    Там и патчить нечего, патч не вышел ещё. Если только конфиг менять (и то если не дефолтный был).
     
  • 2.41, Инопланетянин (?), 23:58, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/–
    Возможно в понедельник уже и нечего и негде будет патчить. С другой стороны хорошо, можешь дома остаться.
     
     
  • 3.94, Смузихеб забывший пароль (?), 11:38, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    какиры сами и пропатчат, чтобы конкуренты не влезли
    проблема решилась сама-собой
     
     
  • 4.142, Tron is Whistling (?), 23:00, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Червь Sasser в этом плане был хорош.
    Очень гнилая зараза, но дырочку-то за собой он закрывал, чтобы другие не влезли.
     
  • 4.143, Tron is Whistling (?), 23:01, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Причём да, с этим связан прикол тех лет, сейчас бы паника была.
    А я обнаружил краш в LSA, дебаггером прогнал, что он реально код выполняет.
    Послал PoC микрософту. Всерьёз.
    Получил отписку - да всё нормально, это не бага, это фича, закроем.
    Прошёл год, появился Sasser.
     

  • 1.4, Самсоныч (?), 22:20, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/–
    Интересно, как весь этот информационный поток вокруг PHP скажется в перспективе на цепочках принятии решений о том, какие технологии выбирать для конкретных новых проектов, и, в конечном итоге, на доле PHP, количестве вакансий и зарплатах, если учесть, что такие решения часто принимают менеджеры, которые не вникаю в технические подробности, а ориентируются на информационный контент.
     
     
  • 2.6, Аноним (3), 22:25, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +7 +/–
    Очень просто: никак. Потому что взломано по сути всё. В Ноде вон тоже недавно уязвимости были, да и в целом там их кладезь, как и с Пыхой, а что вместо этого выбирать? Питон?
     
     
  • 3.8, Аноним (8), 22:33, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    > что вместо этого выбирать? Питон?

    Перл надо выбирать. Без шуток, mod_perl и Ко. в помощь.

     
     
  • 4.27, Аноним (24), 23:16, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/–
    Неуловимый Джо, да.
     
  • 4.49, черпало (?), 00:39, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +4 +/–
    Вот и вернулись к истокам, бгг. И потом на этом перле кто-то напишет штуку для генерации персональных страничек... Так, погодите-ка
     
  • 4.54, Аноним (54), 01:24, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    >mod_perl и Ко. в помощь

    Быстрее взлетит Mojolicious какой-нибудь.
    mod_perl (не как для cgi-скриптов) посложнее изучить...

     
  • 3.9, Самсоныч (?), 22:39, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Из того, что мы наблюдаем, можно сделать вывод, что целый класс проблем связан с тем, что перечисленные языки являются интерпретируемые и, а значит, потенциально подвержены атакам с подстановкой произвольного кода для выполнения.

    Первое, что приходит в голову: использовать для наиболее критичных фрагментов бизнес-логики самое близкое заточенное под веб решение, лишённое недостатков, присущих интерпретаторам — Golang.

     
     
  • 4.28, Ivan_83 (ok), 23:17, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +6 +/–
    Глупости это.
    Точно так же никто вам не мешает находить RCE в чёмнить типа nginx и лить туда машинный код для выполнения. Сложнее но принципиально тоже самое.
     
  • 4.42, Инопланетянин (?), 00:04, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/–
    > Из того, что мы наблюдаем, можно сделать вывод, что целый класс проблем
    > связан с тем, что перечисленные языки являются интерпретируемые и, а значит,
    > потенциально подвержены атакам с подстановкой произвольного кода для выполнения.

    Может просто нормально язык проектировать? ПХП это же жуть по дизайну языка, еще и php.ini , который позволяет яп менять как угодно.

     
     
  • 5.46, Ivan_83 (ok), 00:19, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Да, давайте каждый придумает свой язык, хотя бы по одному до обеда и по ещё два к вечеру. А на следующей неделе, к пятнице, нужно будет написать для каждого языка по 15 фреймворков и бибилиотек покрывающих все области знаний.

    Вас ещё не тошнит от обилия языков? Не?
    Поди сидите где то в загончие и админите или пилите что то на одном.

    И от того что завтра вы напишите самый лучший язык в галактике во все времена и такой же набор либ, фреймворков, линтеров, компеляторов, анализаторов и сборочных систем к нему - вон те бизнессы и прочие рабочие процессы на все остальных языках, они никуда не денутся.
    Притом они никуда не деваются даже если ведор умират сам или сам их прикапывает, как было с дельфи и вижалбейсиком.
    И от старости они не очень то умирают, как кобол с фортраном.

     
     
  • 6.70, Аноним (70), 06:29, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    >Вас еще не тошнит от обилия языков?

    А вас не тошнит от обилия видов животных и растений на Земле? А множество моделей автомобилей и джинсов вас не раздражает?
    Неужели так сложно понять, что разнообразие есть обязательное условие развития.

     
     
  • 7.86, Tron is Whistling (?), 09:42, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Ну и сколько видов животных и растений вы держите у себя дома?
     
     
  • 8.97, Аноним (97), 11:55, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Обалдеть до какого плинтуса упал уровень интеллекта - элементарные истины приход... текст свёрнут, показать
     
     
  • 9.137, Ivan_83 (ok), 22:48, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Вы бы почитали библейскую историю про строительство вавилонской башни чтоли Вот... текст свёрнут, показать
     
  • 7.95, Смузихеб забывший пароль (?), 11:46, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    некорректное сравнение

    Будь у каждого автомобиля совершенно отличное от других управление, конструкция, детали, особенности обслуживания и ремонта, что для каждого из них потребовалось бы по персональному водителю и технику( не считая запасов компонентов, инструментов и приспособлений вплоть до насоса, ни к чему больше не подходящих ) - вот тогда уже что-то близкое к обилию ЯП получилось бы

    И в чём тут развитие ? Ой, а неужели в стандартизации ?

     
     
  • 8.103, Инопланетянин (?), 13:34, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/–
    Все так и есть Хочешь сказать, что делать от bmw подойдет жиге Или что особенн... текст свёрнут, показать
     
     
  • 9.119, Tron is Whistling (?), 17:14, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Вон тот болт М6 - скорее всего подойдёт ... текст свёрнут, показать
     
     
  • 10.124, Инопланетянин (?), 17:28, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Не факт Там может быть m6 с подголовником сферическим Иди найди такой ... текст свёрнут, показать
     
  • 7.136, Ivan_83 (ok), 22:46, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Нет, потому что мне не приходится их никак поддерживать и тратить на них время.

    Что касается транспортных средств то моё мнение очень многим не понравится: я бы хотел чтобы было несколько платформ, и на них нашивался разный обвес. Тогда бы оно было легко обслуживаемым и ремонтопригодным примерно как нонешние десктопы.
    А не вот этот весь одноразовый мусор что сейчас ездит по дорогам и который проще выбросить через 5 лет чем починить. (сравните это с автохламом 50-70х годов, который при должном уходе до сих пор живой)

    Насчёт одежды - как бы пофик, всё идёт к тому что роботы будут это индивидуальное сразу делать на заказ, и это правильно.
    По сути то раньше (100+ лет назад) тоже стандартной одежды не очень то и было и сразу шили на заказ.

     
  • 6.115, Инопланетянин (?), 16:19, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/–
    Дядя, спок, ты чего так возбудился?

    > Вас ещё не тошнит от обилия языков? Не?

    Нет.

    > И от старости они не очень то умирают, как кобол с фортраном.

    Кобол модель антропика будет переписывать. Дяди-финансисты все продумали. Им ИИ дешевле выйдет, чем нанять кучку Ivan_83'их, которые напортачить могут.

     
     
  • 7.120, Tron is Whistling (?), 17:15, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Дяди-финансисты близко искусственного идиота к коболу не подпустят.
    Потому что на потери в случае чего можно будет полпланеты нанять.
     
     
  • 8.122, Инопланетянин (?), 17:23, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Ну да https www engadget com 2291457 openai-says-its-models-can-translate-cobo... текст свёрнут, показать
     
     
  • 9.139, Tron is Whistling (?), 22:56, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Да, микросервисов наплодили - всю планету окутать можно два раза Но в целом воз... текст свёрнут, показать
     
  • 9.140, Tron is Whistling (?), 22:57, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Формальную галлюцинацию, вы хотели сказать А как ещё назвать формальную вери... текст свёрнут, показать
     
     
  • 10.145, Инопланетянин (?), 23:08, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Ну она же выдает код верификации на rocq, декларацию того, что будет доказыватьс... текст свёрнут, показать
     
  • 9.141, Tron is Whistling (?), 22:58, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Там вон впрочем в eMudhra довалидировались До целого 1 байта энтропии Зато по ... текст свёрнут, показать
     
  • 6.128, Аноним (128), 18:46, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    >Вас ещё не тошнит от обилия языков? Не?

    А почему должно? Хороших языков очень мало, чем больше языков, тем больше будет хороших.
    >Притом они никуда не деваются даже если ведор умират сам или сам их прикапывает, как было с дельфи и вижалбейсиком.

    Деваются, просто слишком медленно. Просто нужно продавить огромнейшее сопротивление. В качестве примера можно взять JS, уже даже до части самых отпетых стало доходить, что что-то не так.

     
     
  • 7.148, Ivan_83 (ok), 23:54, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Тот кому нечем занятся / не хочет полезное делать - всегда переписывает готовое с одного языка на другой.
    (это и я по себе сужу, у меня бывали такие периоды)

    Цель существования IT не в изобретении бесполезно языков на каждый чих, а в том, чтобы выдавать какой то полезный результат.
    Пользы от того что pip переписали на rust - uv - для окружающих НОЛЬ: это и раньше работало.
    Польза от того что раст запихали в ядро или в питоновские либы - орицательная: поддерживать их стало сложнее и дороже.

    Вся экосистема IT заточена на С как основу. С хорош для простых вещей, но не удобен для бизнесс логики (управления потоками данных), и тут есть всякие языки которые могут к нему в биндинги.
    У нас уже есть куча разных годных инструментов для поиска ошибок и отладки С, заканчивая ЫЫ.
    На С 10005000 либ есть для всего, и код запросто живёт и 50 лет - отличный и стабильный фундамент для всей индустрии.
    Вопрос с низкоуровневыми языками на этом можно было бы и закрыть.
    Но нет, каждый день очередной "гений" пишет замену С. И ладно бы он через пол года понимал глупость своей затеи, но нет, это потом расходится как круги на воде и человечество тратит ресурсы на никому не нужные поделки.

    С языками для бизнеслогики тоже не всегда хорошо получается, но в целом всё что нужно появилось ещё лет 20 назад. Проблемы были только с тем, что их коряво развивали.
    Тот же GO появился скорее как работа над ошибками, хотя там автор тоже не сильно хотел насущные проблемы решать, но хотя бы смог решить проблему с зависимостями.


    Это мой личный взгляд сверху на индустрию в целом. Можно к нему сколько угодно накидывать что в языке Х всё не так, но картину это сильно не изменит.

     
  • 5.96, Смузихеб забывший пароль (?), 11:52, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/–
    > нормально язык проектировать

    Разработчики пыха( и других ЯП ):
    "Ой, а давайте мы этот ЯП спроектируем, но только чтобы как можно хуже"

    Сарказм если что.
    Все разработчики делают "нормально" и "как лучше"
    Получается - как обычно
    А абстрактное "нормально ЯП проектировать" - что-то из разряда поисков святого грааля или разгадки тайны вечной жизни

     
     
  • 6.102, Инопланетянин (?), 13:23, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/–
    >> нормально язык проектировать
    > Разработчики пыха( и других ЯП ):
    > "Ой, а давайте мы этот ЯП спроектируем, но только чтобы как можно
    > хуже"
    > Сарказм если что.
    > Все разработчики делают "нормально" и "как лучше"
    > Получается - как обычно
    > А абстрактное "нормально ЯП проектировать" - что-то из разряда поисков святого грааля
    > или разгадки тайны вечной жизни

    Расмус то? Да он вайбкодил еще до того как это стало мэйнстримом. Какое проектирование для Personal Home Page?

     
     
  • 7.121, Tron is Whistling (?), 17:17, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Как бы там ни было, а сделать вещь, которая зашла почти всем без исключения и живёт уже 30 лет, не сдавая позиций - это уметь надо. Сколько там ваши руби прожили?
     
     
  • 8.123, Инопланетянин (?), 17:26, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Они не мои Вроде живые Реьсы дали старт большому кол-ву проектов, тот же гитха... текст свёрнут, показать
     
     
  • 9.138, Tron is Whistling (?), 22:55, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Я говорю - ну и где рельсы В маргинальщине, вместе с другими не менее известным... текст свёрнут, показать
     
     
  • 10.146, Инопланетянин (?), 23:10, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    Посмотрим, что будет после этих событий Сейчас же тоже на пыхе новые проекты не... текст свёрнут, показать
     
     
  • 11.161, Tron is Whistling (?), 11:22, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Кто не начинает-то Доля пыха в целом сильно не изменилась ... текст свёрнут, показать
     
  • 8.149, Ivan_83 (ok), 23:59, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Ну в том то и дело, что не только пхп, но и перл, луа, питон - тоже делались бол... текст свёрнут, показать
     
     
  • 9.165, Tron is Whistling (?), 18:22, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Перловка умерла с появлением пыха Просто пых - это ещё более очеловеченный perl... текст свёрнут, показать
     
  • 4.74, Аноним (74), 07:59, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/–
    > Из того, что мы наблюдаем, можно сделать вывод, что целый класс проблем связан с тем, что перечисленные языки являются интерпретируемые  

    Хм, предыдущая (основная, бгг) проблема в ПыХе была в СИшных файлах.

    Для ее исправления было бы достаточно выкинуть из СИшки UB - зафиксировать поведение, добавить проверки для использования переменных - чтобы бороться с Use-After-Free.
    Это можно сделать например в компиляторе, при помощи флагов.
    Сделать проверки санитайзером обязательными.

    А еще лучше - использовать CompCert C.
    Он поддерживает Formal Verification и точно позволит избежать подобных ситуаций.

    ps не уверен что разработчики пхп осилят сompCert

     
     
  • 5.87, Tron is Whistling (?), 09:43, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    А ещё лучше - осилить, что проверки в статике всех проблем в рантайме выявить не могут.
    Потому что набор вариантов входных данных в рантайме у мало-мальски сложного проекта (даже не масштаба пыха, масштаба допустим того же хотя бы rsync) - бесконечен.
     
  • 5.88, Tron is Whistling (?), 09:50, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/–
    Ну и да - любое регламентирование - это увеличение трудозатрат. Причём экспоненциальное.
    Поэтому не то, что "осилят" - а просто никто не будет осиливать, это нерентабельно.
     
  • 5.150, Ivan_83 (ok), 00:04, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Чувак, ты глупости говоришь.

    С не может быть без твоих UB тк он привязан к железу.
    Это примерно как требовать чтобы ассемблер был везде одинаковый.

    Тот же Линус уже комментировал это, и в ядре местами эти твои UB как раз используются как основной функционал.

    А с нынешним развитием инструментария, в виде того же ЫЫ - смысла в этом нет. Проще дать ЫЫ проанализировать код и поправить какие то мелочи, чем тратить время на переписывание на очередной язык-диалект однодневку.

     
     
  • 6.166, Tron is Whistling (?), 18:24, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    ЫЫ скорее всего всё.
    Нарастающий отрицательный кешфлоу и окупаемость в 6%...
    Умножаем стоимость "токена" на 20-30, и понимаем, что это скорее труп.
    Плюс ещё пошли скандалы вокруг переориентирования железа и дц, скорее всего регуляторы достанут ежовые рукавицЫ.
     
     
  • 7.167, Ivan_83 (ok), 18:31, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Ну вот я ЫЫ гоняю локально, единственное что модели не сам обучаю. Думаю в таком виде оно никуда не денется в любом случае.
     
     
  • 8.170, Tron is Whistling (?), 19:43, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Денется, потому что обучение моделей - как раз то, что и вызывает проблему И он... текст свёрнут, показать
     
  • 8.171, Tron is Whistling (?), 19:43, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Одно дело обучить модельку на включи свет, вася , и другое - что-то уровня стат... текст свёрнут, показать
     
  • 3.26, Гуманоид (?), 23:16, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • –6 +/–
    Kotlin. Выразительный, хорошо спроектированый язык + надежная экосистема Java.
     
     
  • 4.47, Ivan_83 (ok), 00:21, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Надёжная экосистема - это не та где один автор лефтпада всё сломал?
     
     
  • 5.75, Аноним (74), 08:01, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    Что всё)?

    Никто тебя не заставляет вообще использовать чужой код.
    Особенно если ты разрабатываешь не какую-то васяноподелку, а условный "язык на котором пол интернета работает".

     
     
  • 6.84, Аноним (84), 09:12, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/–
    котлин который при сборке тянет полинтернета, а потом оказалось версия одного пакета не та и снова качает все подряд
     
  • 5.160, User (??), 04:38, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Ээээ... Ты java с javascript не попутал?
     
  • 3.85, анна нимовна (?), 09:36, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    >Потому что взломано по сути всё

    расскажи подробнее когда и как ты взломал spring boot - просто стандарт для бэка в 2020е

    в 2026м на новый проект пых могут притащить только откровенные нолики

     
     
  • 4.89, Tron is Whistling (?), 09:51, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Вот поэтому у вас и нет новых проектов.
    Потому что притаскивают, но не вам.
     
  • 4.99, Смузихеб забывший пароль (?), 12:35, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    > просто стандарт для бэка

    у каждого свои стандарты )

    разные задачи - разные наборы технологий

     
  • 4.151, Ivan_83 (ok), 00:12, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Вы мыслите только какими то категориями: модно, трендово.

    Я вот не уверен что нынче лучше взять питон или го вместо ПХП.
    Для питона я знаю все минусы с поддержкой, их тонна.
    Для го - он слишком молодой, а я видел мало проектов и экосистему не знаю. Вдруг гугол забросит его и он помрёт. С зависимостями там уже помойка, но оно хотя бы собирается в загончике в отличии от питона.
    С пхп я не плохо знаю о поддержке проектов и о примерных минусах.

    Джава - какая то откровенная помойка, как и питон. Сам лично ничего такого не меинтейнел (только немного npm один проект) и вообще стараюсь избегать связанного с джавой.
    Руби - туда же.

     
     
  • 5.162, анна нимовна (?), 13:13, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    > Вы мыслите только какими то категориями: модно, трендово.

    я делаю бэк, который ни разу за 10 лет не пришлось прятать )

    > Джава - какая то откровенная помойка. Сам лично ничего
    > такого не меинтейнел (только немного npm

    махаха, иксперды опеннета во всей красе

     
     
  • 6.168, Tron is Whistling (?), 18:37, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    > я делаю бэк, который ни разу за 10 лет не пришлось прятать

    Прятать неуловимого Джо - ну вообще так себе затея.

     
  • 5.163, анна нимовна (?), 13:54, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    > Вы мыслите только какими то категориями: модно, трендово.

    хихи

    does CVE-2026-111497 affect spring boot?

    No, CVE-2026-111497 does not affect Spring Boot.

     
     
  • 6.172, Tron is Whistling (?), 19:44, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Я бы удивился, вернее не удивился, если бы в эту фиготень ещё и бротли засунули.
     
  • 3.116, bublick (ok), 16:31, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Конечно же golang. И нет проблем.
     
  • 2.98, тоже Аноним (ok), 12:03, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    > скажется в перспективе на цепочках принятии решений о том, какие технологии выбирать для конкретных новых проектов

    Битрикс умудряются продавать до сих пор.
    Это все, что нужно знать о реальных цепочках принятия решений о технологиях.

     
  • 2.105, фняк (?), 13:38, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    rce в log4j как сказалась на популярности java? Как раз прошло достаточно времени чтобы можно было дать оценку
     
     
  • 3.164, анна нимовна (?), 14:58, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    > rce в log4j как сказалась на популярности java

    ошибка в log4j1 была сильно перехайплена, у меня из десятка проектов ни в одном этого старья не было.

     

     ....большая нить свёрнута, показать (61)

  • 1.10, Аноним (10), 22:48, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –6 +/–
    Блин, почему находят столько RCE, но никто не делает червей которые поломают разом всё PHPшное, чтобы добить эту заразу?
     
     
  • 2.12, Tron is Whistling (?), 23:05, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +9 +/–
    Потому что половина этих RCE интересна только в CVE запостить и на форумах перетереть, реальная эксплуатабельность около 0.
     
     
  • 3.20, Аноним (20), 23:11, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • –7 +/–
    100% мамонтов с поломанным вордпрессом рассуждают как и ты.
     
     
  • 4.23, Ivan_83 (ok), 23:15, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/–
    Дак и что?
    И вордпрессы и прочее периодически ломают уже больше 10 лет, никакой трагедии в этом нет.

    Я на шаред хостенге просто при получении очередного письма: "вас тут немножечко поломали" рсинкал туда локальную копию. Технически можно было и в крон запихать чтобы раз в час восстанавливал сам.
    А у себя проблему решил монтированием в RO всего пхп кода.

     
     
  • 5.79, Tron is Whistling (?), 08:13, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    > И вордпрессы и прочее периодически ломают уже больше 10 лет, никакой трагедии
    > в этом нет.

    Вот да.
    Но зумеры панике.

     
  • 5.83, Аноним (83), 08:40, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    Если конечно не закрепились в системе …
     
  • 2.56, аниме эксперт (?), 01:27, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/–
    Потому что большинство "уязвимостей" теоретические, на практике они не работают.
     
     
  • 3.58, Ivan_83 (ok), 01:33, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    И да и нет.
    Большинство и правда теоритические или около того. Но часть из них просто сложна в использовании, там квалификация в асме и прочем таком нужна, а не просто очередной выход из вебрута с запуском пейлоада из post запроса в одну строчку на питоне из за отсутствия надлежащего экранирования символов.
     
  • 3.131, Аноним (131), 19:39, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Мысль не приходила:
    Помимо этих найдены более подходящие и приватизированы, а эти выброшены на публику как трудно эксплуатируемые.
     

  • 1.11, Аноним (11), 22:49, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –12 +/–
    Мне Клод сам все сделал, что писал то поправил и с сервером поработал. На написании црм в Клоде я сохранил примерно лям и поправить косяки тыщ 100, оцениваю по прежнему прайсу кодеров)))
     
     
     
     
     
     
     
     
    Часть нити удалена модератором

  • 8.57, Ivan_83 (ok), 01:31, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Тут уж кому что важнее ... текст свёрнут, показать
     
  • 2.21, Ivan_83 (ok), 23:11, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Вы в начале покажите сколько токенов и денег потратили потом будет понятно что там за экономия.
    Ну и сам код тоже не понятно какой на выходе и сможет ли его кто то саппортить.
     
     
  • 3.30, Аноним (30), 23:20, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • –3 +/–
    > Вы в начале покажите сколько токенов и денег потратили потом будет понятно что там за экономия.

    Либо $100/месяц, либо $200/месяц за подписку.

    > Ну и сам код тоже не понятно какой на выходе и сможет ли его кто то саппортить.

    Ну если тебе не понятно, попроси знакомого программиста тебе объяснить. Современные агенты кодят куда лучше тебя, просто смирись с этим.

     
     
  • 4.32, Ivan_83 (ok), 23:26, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Да видел я как они кодят, у меня тут этих ваших ЫЫ целое ведро набралось.
    На вид всё красиво написано, а на деле может быть полная лажа и галюны.
     
     
  • 5.53, аниме эксперт (?), 01:21, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/–
    Клод и правда хорошо кодит в отличие от китайских поделок, которые хороши только в бенчмарках.
     
  • 5.65, _ (??), 03:54, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    > а на деле может быть полная лажа и галюны.

    Ну надо же - всё прямо как у людей ! :)

     
  • 5.68, Аноним (30), 05:00, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    > Да видел я как они кодят, у меня тут этих ваших ЫЫ целое ведро набралось.

    Я не знаю, на что ты смотрел и когда это было. Я наблюдаю сейчас как и что пишут наши девелоперы. Количество инцидентов в проде сначало выросло на 20%, а потом упало на порядок с переходом на ИИ кодинг. Дальше мне можно ничего не рассказывать, полной лажей был код до этого. Галюны в задачах на мейнстримных языках? Ох, не смешите меня, вы там что, вайб-кодите в чатике?

     
     
  • 6.152, Ivan_83 (ok), 00:20, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    У меня скромная статистика - относительно мало коллег.
    Но в целом есть небольшое колличество тех кто хорошо въезжает в тему и пишет качественно, и больше всех остальных.
    Среди остальных тоже всё по разному. Кто то пишет может и не очень красиво/аккуратно но оно работает, кто то вроде написал нормально всё но просмотрел важные детали и после него прога крашится. А на ревью обычно смотрят в дифф и не смотрят на код в целом потому не видно что автор уже накосячил, потому что освободил нужное раньше или какую нить последовательность/воркфлоу проги нарушил.

    Но на самом деле показательнее всего смотреть не столько на код во время ревью, сколько на регрессы и потом находить авторов. (для проекта такое плохо, но для понимания того кто больше косячит самое адекватное)

     
  • 3.33, Аноним (11), 23:29, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • –3 +/–
    Копейки, на пиво за месяц больше уходит. Смысла тут выяснять ничего нет, я сам ушел с писанины в бизнес. Кодеров нанимать не буду, т.к знаю точно что качество кода будет ниже клода и при малейшей движухе, как сейчас, мне скажут ну тыщ 50-100 будет стоить, это в лучшем варианте. Я знаю вы тут все против ИИ, но как человек  который заказывает, я выберу ИИ
     
     
  • 4.34, Ivan_83 (ok), 23:35, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Если только ваш бизнес не связан с IT :)

    Да не против тут ЫЫ, это инструмент, и притом не дешёвый совсем, и который всё ещё надо контролировать.
    Не может адекватно работающий ЫЫ стоить копейки, там себестоимость выше, вам столько пива не выпить.

     
     
  • 5.101, Аноним (101), 13:10, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Пока Антропики и Альтман будут работать в дикий минус (сколько там сейчас окупается затрат, 6% всего?), инструмент будет очень дешёвый. А потом случится бум пузыря в разы сильнее краха боткома и жесткое похмелье у отрасли.
     
     
  • 6.153, Аноним (153), 00:22, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Главное, чтобы продолжали публиковать веса, а индустрия сама уж решит, может ли она позволит себе один раз купить стойку "резко подешевевших h200" на замену отдела кожаных.
     
  • 6.154, Ivan_83 (ok), 00:23, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    А потом их вынесут вперёд ногами и придут те кто будет работать на свои.

    Но к ЫЫ в поиске гугла я уже привык, мой собственный заменитель работает заметно медленее. Хотя наверное даже так его использование будет быстрее чем по старинке первые 10 ссылок выдачи перечитывать.

     
  • 4.40, Боевой Петух (?), 23:57, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +6 +/–
    > Копейки, на пиво за месяц больше уходит.

    Так только может говорить тот, кто ни копейки не заработал работая на себя, а только пиво жрёт с подачек от дяди.

    > я сам ушел с писанины в бизнес.

    На фоне этого особо смешно.

     
  • 2.169, Tron is Whistling (?), 18:38, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    А теперь умножь стоимость "токена" на 20-30 - это будущее.
     

  • 1.31, Ivan_83 (ok), 23:23, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/–
    Что то журнализды совсем изголодались и не могут кончить постить апокалиптические новости.

    Осталось дождатся страшных карт где красным будут помечены страны где уже сломался php (потому что админ забыл что надо делать и начитавшись новостей полез и уронил сервер).

    И снизу такая легенда:
    - жёлтый - 1 сервер ребутнули на обслуживании
    - светлокрасный - 1 сервер на страну умер от ребута
    - красный - 1 сервер на страну где админ списал свои факапы на пхп и русско-корейско-китайских какеров
    - тёмно красный - таких админов нашлось больше одного

    И там ещё снизу сразу новость пустить: по последним проведённым статистическим исследования избыточная смертность от бага в PHP составила 2 человека: доставали сервер с верхней полки и он упал им на голову!

     
     
  • 2.36, q (ok), 23:38, 23/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    > админ забыл что надо делать и начитавшись новостей полез и уронил сервер

    Ну а что "надо делать", когда обновлений нет, пыха дырявая, эксплоиты на публике, и орды автоматических агентов щелкают сервера? Или твои пыхопроекты даже боты не посещают?

     
     
  • 3.43, Ivan_83 (ok), 00:05, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    Всмысле ронять сервер на голову единственный выход?)

    У меня свой пыха проект сугубо для локалочки - ssdpd (см на гитхубе). Руторрент тоже для локалки.
    А докувики и некстклауд торчат в инет и сидят в разных chroot_env (см гитхуб) - там не разгуляешься, при всём желании.


    Сейчас и правда что то делать уже поздновато, надо было раньше озаботится затягиванием гаек над пхп воркерами чтобы они могли делать только то что требуется, а не всё что захочут.
    Почему для большинства админов зима каждый раз приходит неожиданно - вопрос интересный.

    мяв тоже сейчас поди сидит, смотрит на свой токио и двольно улыбается читая новости :)

     
     
  • 4.63, Норм (?), 03:44, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    мяв?
     
     
  • 5.67, Ivan_83 (ok), 04:30, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Иногда заглядывает сюда.
     
  • 4.127, Смузихеб забывший пароль (?), 18:34, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    порой удивляюсь осведомлённости одних пользователей опеннета о других вплоть до применяемых технологий )
     
     
  • 5.156, Ivan_83 (ok), 00:30, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Она рассказывла о том чем примерно я занимаюсь, но конкретно до такой детальной кастрации у меня руки не доходят - нет столько времени. Я похожим занимался с адресами/хостами для приложений в мобилке и быстро плюнул: то одно не работает то другое...
    chroot_env и тот для отдельных приложений времени много отнял, а уж он то бъёт сразу по областям что называется.

    Но сам то скил винрарный для отдельных критических областей, в какомнить банке или гугло-андройде легко заплатят за такое утончённое закручивание гаек.

    В целом это скорее интерес к теме чем к персоне :)

     
  • 3.52, аниме эксперт (?), 01:19, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    > пыха дырявая

    Не более других языков. Вопрос к твоим рученькам.

     
  • 2.81, Tron is Whistling (?), 08:15, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    > Осталось дождатся страшных карт где красным будут помечены страны где уже сломался
    > php (потому что админ забыл что надо делать и начитавшись новостей
    > полез и уронил сервер).

    Вот вы шутите, а затыкая это вспомнить, что из 100500 мелких компонентов по всей сети у тебя на что завязано - та ещё тема. Реальная-то ситуация такая, что пых от 7.3 до 8.4 в проде. Хорошо хоть бэкпорт на 7.4 есть, с 7.3 на 7.4 перекатывать не так страшно.

     
     
  • 3.82, Tron is Whistling (?), 08:17, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    И это блд ни фига не смешно - даже при наличии всей документации вспомнить, ГДЕ эта документация разложена - уже проблема. Даже при наличии оглавления и поиска - ага, всё равно ищи свищи. Тут опора только на архитекта и тех, кто реально hands-on, и знает, где и что.
     

  • 1.38, Боевой Петух (?), 23:54, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +6 +/–
    Очередная "уязвимость"? По прежним еще ни одного взлома даже на локал хостах от доморощенных ютубных безопасТников еще нет.
     
  • 1.44, Аноним (44), 00:05, 24/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/–
    А вот был бы у людей статичный вебсайт, в стиле Web 1.0, не было бы проблем. А если нужда динамика, сейчас можно и на Go вебсайт сворганить. Не понимаю, почему нужен скриптовый PHP.
     
     
  • 2.55, аниме эксперт (?), 01:25, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/–
    Потому что пыха простая, ее можно встраивать прямо в HTML (как и задумано).
     
     
  • 3.72, Аноним (72), 07:53, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Все забыли, что фишка со встраиванием кода в html это ASP, а PHP был изначально его довольно плачевным подражанием.
     
     
  • 4.91, Tron is Whistling (?), 09:54, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Хуже ASP я вообще не трогал.
     
  • 4.125, Смузихеб забывший пароль (?), 18:21, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    но что это принципиально меняет ?
     
  • 3.134, Аноним (131), 20:15, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    >Потому что пыха простая

    Пользоваться надо не тем что правильно (там где дело касается не только тебя одного), а тем что просто?

     
  • 2.77, Аноним (74), 08:05, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    А если бы у них компов не было - так они вообще бы проблем не знали!
    Сидели бы в пещере, жарили мамонта.

    Вот до чего человечество довел прогресс!!

     
     
  • 3.133, Аноним (131), 20:07, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Нет. Вымерли мамонты - вымерли бы те кто их ест.
     

  • 1.62, Норм (?), 03:42, 24/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –5 +/–
    Да блин иногда удаленное выполнение кода это ФИЧА ПХП. Это реально вся причина его существования. Это вот то самое чего он блин делает.
    Это как сказать что в веб сервере нашли уязвимость позволяющую скачивать файлы.
     
  • 1.73, Аноним (73), 07:58, 24/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/–
    обновляемся на новые дыры или патчим уже известные?
     
     
  • 2.78, Аноним (72), 08:12, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    там для ksbmd кучу дыр случайно опубликовали, до патча. php это цветочки
     
     
  • 3.106, пох.. (?), 13:42, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    если у тебя ksmbd как-то торчит на улицу - там в голове дыра. Вместо моска.

    У него и внеуличных применений-то - только не слишком умные телевизоры сасунг.

     

  • 1.93, Сергей (??), 10:56, 24/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/–
    Нифига не понял... Т.е., если стоит в "php_binary" или "php_serialize", а мое приложение в коде меняется на "php", то уязвимость есть, а если изначально стоит в "php", то уязвимости нет...
     
     
  • 2.107, Аноним (107), 13:46, 24/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    всё не так. если стоит PHP, то уязвимость есть.
     

  • 1.104, nickelangelo 8230 (?), 13:34, 24/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/–
    1412 ; Enable upload progress tracking in $_SESSION
    1413 ; Default Value: On
    1414 ; Development Value: On
    1415 ; Production Value: On
    1416 ; http://php.net/session.upload-progress.enabled
    1417 ;session.upload_progress.enabled = On
     
  • 1.129, Аноним (128), 18:49, 24/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/–
    Прекрасная иллюстрация того, чем плохо написание кода на си: после проверки от ИИ до сих пор остались ошибки.
     
     
  • 2.159, Ivan_83 (ok), 04:05, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Вам с такими хотелками нужно совсем другое IT, может быть с квантовыми компами вам повезёт, а тут только С и только так.

    И самое главное что сейчас остались ошибки которые никому не мешают. В данной истории ошибки не сами тригерят сбои а конкретные люди этим занимаются.
    Я веду к тому, что индустрия за последние лет 10-15 очень сильно изменилась, и если раньше у меня какие то программы или игры вылетали просто так, во время обычных действий то сейчас такое очень большая экзотика, а вот это всё кое как находят фазерами и ЫЫ.

    Те ошибок стало мало и они все закопаны так глубоко что сами не тригерятся.

     

  • 1.135, Аноним (135), 21:29, 24/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/–
    Пробовал проверять код на ошибки с помощью вашего Claude Code. Каждый прогон выдаёт сотни багов, и так снова и снова - процесс бесконечный. Как понять, где настоящий баг, а где просто галлюцинация? Вопрос риторический.
     
     
  • 2.157, Аноним (153), 00:30, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    >Как понять, где настоящий баг, а где просто галлюцинация?

    Ты сам задаешь критерий, что для тебя баг. Claude тебе просто показывает на конкретных программных примерах, что твой вкуснопахнущий код нарушает тесты, нарушает документацию, выходит за границы массива итд итп. Ты можешь сказать: Это не баги, это крафтовые фичи человеческого кода, и их больше не будут репортить. Можешь даже попросить закрепить тестом.  

     
     
  • 3.158, Аноним (135), 01:03, 25/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    > Ты сам задаешь критерий, что для тебя баг.

    Это как? Ну вот навайбкодил я скрипт на питоне, он работает, всё ок. Но вдруг там есть баг связанный с бизнес логикой или какими-то гонками состояний или отсутствием проверок и т.д. Я не знаю есть этот баг или нет, и не знаю какие вообще могут быть там баги. Я говорю ему, чтобы он нашел все что сможет найти. Но похоже это так не работает и нейронки еще не готовы для такого.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    XSQUARE
    Inferno Solutions
    Hosting by Hoster.ru
    Хоcтинг: