Мощные индийские ключи; Срочные патчи для критических уязвимостей в PHP; Очередной рекордный патч Microsoft.

#430, 21.10.2026

Мощные индийские ключи
dl // 21.10.26 21:01
У индийского центра сертификации eMudhra обнаружили восемь скомпрометированных промежуточных сертификатов. Причина оказалась совершенно прекрасной: их закрытые криптографические ключи имели настолько маленькие значения, что исследователи смогли восстановить их практически мгновенно. В одном случае значение ключа оказалось равно числу 4 (прописью: четыре), в других встречались 56 и 115.

Обладая такими ключами, злоумышленник потенциально мог выпускать поддельные TLS-сертификаты для доменов, которыми не владеет. Это создавало возможность выдавать вредоносный сервер за настоящий сайт и перехватывать или изменять зашифрованный трафик. Проблема затрагивала не только браузеры, но и другие программы, доверяющие соответствующим центрам сертификации.

eMudhra отозвала восемь сертификатов, а Mozilla, Google и Apple начали блокировать их в своих продуктах. Однако обновление браузеров не решает проблему автоматически для всей инфраструктуры: серверы, библиотеки, устройства IoT и другие системы могут использовать собственные хранилища доверия.
Источник: The Register

Срочные патчи для критических уязвимостей в PHP
dl // 21.10.26 20:24
PHP Foundation выпустила экстренные патчи двух уязвимостей, приводящих к удаленному исполнению кода без предварительной аутентификации, опасность которых была оценена в 9.2 по CVSS v4.0.

Уязвимости (CVE-2026-109618 и CVE-2026-109619) получили общее имя PHP2Shell. Обе растут из одного корня: после аварийного завершения запроса PHP оставляет память в испорченном состоянии. CVE-2026-109618 позволяет добиться выполнения кода через цепочку ошибок, приводящих к повреждению памяти при нехватке ресурсов. CVE-2026-109619 связана с использованием уже освобождённой памяти и повреждением глобального состояния.

При успешной эксплуатации атакующий может выполнять команды с правами процесса веб-сервера. Особенно уязвимыми разработчики считают конфигурации Apache с mod_php, где запрос способен запустить атаку ещё до выполнения кода самого приложения.

Проблема затрагивает PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Это означает, что под угрозой могут оказаться сайты на WordPress, Drupal, Joomla и Magento, а также другие приложения, использующие PHP.

Разработчики выпустили исправленные версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для старых веток ситуация сложнее: PHP 8.1 и более ранние версии больше не получают обычных обновлений от основного проекта, хотя отдельные поставщики могут выпускать собственные исправления. Также озвучены временные меры для тех, кто не может срочно установить патчи, вроде установки memory_limit=-1, которые, впрочем, не защищают полностью.

По оценке VirusTotal, в сети доступно свыше 5.1 миллиона PHP-хостов, из которых у 3.8 миллиона открыт по крайней мере один порт.

Cloudflare уже наблюдал ранние попытки эксплуатации этих уязвимостей. Reuters также сообщил, что некоторые организации в Европе отключили публичные сайты на время проверки и установки исправлений. В Нидерландах среди затронутых ресурсов оказались государственные сайты и сайты отдельных организаций.
Источник: Bleeping Computer

Очередной рекордный патч Microsoft
dl // 14.10.26 17:36
Как и обещалось, число исправлений в ежемесячных патчах продолжает расти. На этот раз 1441 исправление, из которых 70 критичных, 57 закрывают удаленное исполнение кода и 3 уязвимости нулевого дня, одна их которых уже активно используется.
Источник: Bleeping Computer