3 материалов
Это была проверка тезиса, что ИИ делает эксплуатацию PHP тривиальной. За часы незнакомцы пополнили кошелёк до $2000, а приз так и остался невостребованным.
Один комментатор запустил сгенерированный LLM прототип эксплойта, и сайт упал. Падение — это ещё не шелл.
Главные треды HN: факты из обсуждений, разные стороны, голоса инсайдеров. Email, Telegram или RSS.
Он следит за четырёхнедельным циклом релизов PHP и собирает из исходников, поэтому хотел предупредить таких же, как он, чтобы обновились. После его поста график раскрытия изменился.
Правило одного комментатора: если ты получил подробности уязвимостей без эмбарго, то эмбарго нарушил не ты, а кто-то выше по цепочке.
Версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 вышли 21 октября, на день раньше плана, из-за утечки CVE-номеров. Обе уязвимости получили CVSS 9.2, входа для эксплуатации не нужно, а видео с PoC по ошибке выложили в открытый доступ.
В треде администратор, который спешно обновлял несколько серверов, написал, что трёхстрочное правило nginx, блокирующее multipart-загрузки, тихо защищало машину, которую он не мог выключить.
