🐘 PHP: две критические уязвимости 9.2 без аутентификации. Вышли 8.5.12, 8.4.27, 8.3.36 и 8.2.35

Коллеги, четверг. Если у вас есть хоть один сайт, WordPress, Nextcloud или Roundcube — это про вас.

📌 ФАКТЫ
21 октября вышли PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35

Закрыты две уязвимости с оценкой 9.2, обе — удалённое выполнение кода без аутентификации:

повреждение памяти при обработке нехватки памяти (OOM)

использование глобального состояния после освобождения памяти

Номера CVE и условия срабатывания в первых публикациях не раскрыты. Разработчики заранее предупреждали хостинги о выходе патча

🛠 ГДЕ У ВАС PHP
Bash

php -v
ls /etc/php/ 2>/dev/null                       # все установленные ветки (Debian/Ubuntu)
systemctl list-units --type=service | grep -E 'php.*fpm'
docker ps --format '{{.Names}}\t{{.Image}}' | grep -i -E 'php|wordpress|nextcloud'

Bash

# Debian/Ubuntu: обновить и перезапустить FPM
apt update && apt install --only-upgrade 'php*'
systemctl restart 'php*-fpm'

⚠️ НЕ ЗАБЫТЬ
Контейнеры не обновятся через apt хоста — нужен docker compose pull && docker compose up -d

В дистрибутивах исправление придёт под своей версией пакета — сверяйте с бюллетенем дистрибутива

PHP 8.1 и старше без поддержки — патча не будет

💡 В ЧЁМ СУТЬ

PHP — общий знаменатель для половины веб-приложений. Одно обновление интерпретатора закрывает риск сразу для всех сайтов на сервере, а пропущенное оставляет открытыми все. Сегодня — день обновления FPM и образов.

#php #web #security #wordpress #nextcloud #sysadmin #admin_future

🧠 Skills: видит ли ваш сервер ошибки ECC-памяти? Повод проверить — из Linux 7.4 убирают старые EDAC-драйверы

Коллеги, навык про железо, о котором обычно вспоминают только после «необъяснимых» падений серверов и внезапных kernel panic.

📌 ФАКТЫ
В ветке Linux 7.4 окончательно удаляются устаревшие EDAC-драйверы для платформ: Intel 975X, X38, 3200/3210 и AppliedMicro X-Gene (Ampere eMAG)

Мейнтейнер подсистемы Borislav Petkov (AMD) объяснил причину прямо: на фоне «лихорадки сгенерированных ИИ патчей» legacy-код становится прямой угрозой стабильности — тестировать входящие правки для древнего кремния физически не на чем

EDAC (Error Detection and Correction) — ключевая подсистема ядра Linux, собирающая телеметрию контроллеров памяти об исправленных (CE) и неисправимых (UE) аппаратных сбоях RAM

🛠 ПРОВЕРКА В СИСТЕМЕ
Bash

# Проверяем, зарегистрированы ли контроллеры памяти в sysfs (пусто = ядро не видит EDAC)
ls /sys/devices/system/edac/mc/

# Быстрое чтение счётчиков ошибок по всем контроллерам:
grep -H . /sys/devices/system/edac/mc/mc*/{ce_count,ue_count} 2>/dev/null

# Современный вариант через демон RAS (Reliability, Availability, Serviceability):
apt install rasdaemon && systemctl enable --now rasdaemon
ras-mc-ctl --summary
ras-mc-ctl --errors

⚠️ КАК ИНТЕРПРЕТИРОВАТЬ ВЫВОД
Счётчик CE (Correctable Errors) стабильно растёт на конкретном канале/диме — ячейки модуля деградируют. Планка ещё жива за счёт ECC-коррекции, но модуль пора отправлять под замену по RMA

UE (Uncorrectable Errors) > 0 — случился фатальный битфлип, который алгоритм исправить не смог. Возможна тихая порча данных в памяти или падение хоста

Каталог /sys/.../edac/mc/ пуст — аппаратная коррекция на уровне BIOS/BMC может работать, но ОС о событиях «вслепую» не знает. В таком случае смотрим аппаратный SEL через IPMI:

Bash

ipmitool sel elist | grep -i -E 'memory|ecc'

💡 В ЧЁМ СУТЬ

Исправимые ошибки (CE) — это заблаговременный индикатор скорой смерти планки RAM: модуль может неделями тихо сыпать счётчиком, пока сервер не словит первый неисправимый краш посреди рабочего дня.

Заведите опрос

ce_count

или трапы

rasdaemon

в Zabbix/Prometheus — это копеечный по ресурсам мониторинг, спасающий от внезапных падений гипервизоров и СУБД.

#skills #linux #hardware #ecc #monitoring #zabbix #sysadmin #admin_future