Уязвимости PHP позволили получить полный доступ к крупнейшему порносайту

Уязвимости PHP позволили получить полный доступ к крупнейшему порносайту

Уязвимости PHP позволили получить полный доступ к крупнейшему порносайту

Используя уязвимости нулевого дня в PHP, трем хакерам удалось удаленно получить возможность выполнения кода на серверах, принадлежащим известному сайту для взрослых Pornhub.

Руслан Хабалов, стажер Google sofware и исследователь в области безопасности, детально объяснил, как ему и хакерам @_cutz и Dario Weißer @haxonaut удалось получить полный доступ к базе данных и конфиденциальной информации пользователей Pornhub.

В итоге Pornhub заплатили $20,000 за найденные бреши в безопасности, а Internet Bug Bounty добавили еще $2000.

Группа исследователей говорит, что эксплуатация этих уязвимостей была довольно сложных процессом, состоящим из нескольких этапов. Но в итоге удалось получить доступ к /etc/passwd и возможность произвольного запуска системных вызовов.

«Нам удалось обнаружить две уязвимости нулевого дня в PHP» - говорит команда исследователей – «Эти уязвимости вполне могут использоваться в контексте функции unserialize».

«Не следует использовать функцию unserialize при вводе данных пользователей. Гораздо лучше использовать более простые методы, например, JSON».

Эксперты могли бы удалить все данные Pornhub, включая информацию о пользователях, отслеживать поведение пользователей, получить привилегии суперпользователя и внедриться еще глубже.

Обнаруженные уязвимости были исправлены в PHP версии 5 и 7 в прошлом месяце. 

Подпишитесь на новости

Операторы попросили сохранить перерегистрацию зарубежных базовых станций

Российские операторы связи нашли проблему в правилах перехода на отечественные базовые станции: обновление документов на исправное зарубежное оборудование может потребовать его замены. Купить российскую технику в необходимых объёмах, по словам компаний, пока невозможно.

Бумаги обновили, а станцию выбрасываем? Отрасль просит обойтись без такого сценария.

О предложениях операторов сообщил РБК с форума «Спектр-2026». Директор по регуляторным вопросам «ВымпелКома» Константин Зудин рассказал, что компании просят ГКРЧ предусмотреть исключения для перерегистрации уже работающих зарубежных станций.

С 1 января 2028 года устанавливать на сетях разрешается только отечественные базовые станции. Однако, как объясняют операторы, действующие формулировки затрагивают и повторную регистрацию существующего оборудования.

Она требуется при продлении разрешений на частоты, изменении параметров совместного использования сети, перемещении станции и других корректировках. По словам Зудина, речь идёт о тысячах перерегистраций в день.

МегаФон также предупредил о риске массового вывода исправного оборудования из эксплуатации и ухудшения связи.

Минцифры подтвердило получение инициатив. Вопрос обещают проработать и вынести на заседание ГКРЧ до конца 2026 года.

Операторы поддерживают переход на российское оборудование, но просят учитывать объёмы поставок.

RSS: Новости на портале Anti-Malware.ru