Пока не взломали

Исправления вышли 21 октября 2026 года разработчики PHP выпустили экстренные обновления, закрывающие две критические уязвимости: • CVE-2026-109618 — повреждение памяти при обработке ошибок её нехватки (OOM). • CVE-2026-109619 — использование освобождённой памяти из-за некорректного состояния PHP между запросами. Обе получили 9,2 балла по CVSS 4.0 и могут приводить к удалённому выполнению кода без авторизации (RCE). Проблема в самом интерпретаторе PHP, а не в коде приложений. Поэтому под угрозой WordPress, Drupal, Joomla, Laravel и другие сайты, работающие на уязвимых версиях PHP. Атаки уже начались? Да, попытки эксплуатации зафиксированы...

В fingerprint у них есть отдельный сигнал для CDP — Chrome DevTools Protocol. И стандартная конфигурация считает его достаточно серьёзным признаком автоматизации: под него попадают Puppeteer, Playwright с Chromium и даже обычный Chrome, запущенный через remote debugging. Механизм появился в CrowdSec 1...

Но не так, как звучит На AliExpress нашли обфусцированные anti-abuse-скрипты, которые запускали Web Audio API: генерировали неслышимый сигнал, прогоняли его через аудиостек устройства и измеряли результат. Похоже, это было частью системы антифрода и антибота. Такой сигнал сам по себе не говорит, кто именно перед сайтом. Но вместе с WebGL, canvas, параметрами устройства, WebRTC, движениями мыши и признаками browser automation он становится ещё одним элементом цифрового отпечатка...

С ботами долго было довольно удобно мыслить бинарно: вот человек, вот автоматизация. Человека пропускаем, бота проверяем, режем или отправляем решать challenge. Проблема в том, что эта модель начинает заметно трещать. Cloudflare недавно поделилась статистикой своей системы Precursor, которая смотрит не только на отдельный запрос, а на поведение в течение всей сессии. За одни сутки система обработала 206 млн событий на 73 тысячах доменов. И один из интересных выводов: подозрительное поведение нередко начинается уже в середине сессии. То есть сначала перед нами вполне нормальный пользователь...

По данным исследователей, дыру уже дёргали вживую, возможно ещё с февраля. Shared-хостинг снова напоминает коммуналку: один плохой замок — и внезапно открывается не одна дверь, а весь этаж. Технически баг сидит в логике сессий. До нормальной авторизации cpsrvd создавал pre-auth session file, а дальше через криво обработанные cookie и заголовки можно было подсунуть в эту сессию лишние свойства. В плохом сценарии — что-нибудь уровня user=root. Потом сессия перечитывается, кэшируется, и вот у нас уже не «неудачная попытка входа», а административный доступ без пароля. Красиво? Да. Противно? Тоже да...