Неделя цепочки поставок: подменённые бинарники, пакеты без проверки целостности и свежие RCE, которые надо закрыть уже сегодня.
1. PHP2Shell: две RCE в ядре PHP без авторизации. Кто уязвим и как проверить сервер за минуту - 21 октября вышли внеплановые 8.5.12, 8.4.27, 8.3.36 и 8.2.35, обе уязвимости на 9.2 по CVSS v4.0. Внутри скрипт проверки сервера и временные меры, если обновиться прямо сейчас нельзя.
https://habr.com/ru/articles/1097362/
2. Как в официальный CLI OVHcloud подложили стилер и почему спас только прописанный хеш - бинарники перезалили поверх пяти уже выпущенных релизов, без новых тегов и без запуска Actions. Первым заметил клиент, у которого в CI был жёстко прописан SHA-256 архива.
https://habr.com/ru/articles/1096502/
3. Проверили 25 менеджеров пакетов на подмену кода взломанным репозиторием: целостность каждого пакета проверяют только два - меньше половины по умолчанию сверяют пакет с lock-файлом. Что будет, когда атакующие переключатся с разработчиков на сами репозитории.
https://habr.com/ru/articles/1096236/
4. Висячий указатель в HTTP/2 довёл curl до RCE: разбор CVE-2026-92392 от Стенберга - use-after-free при отправке данных по HTTP/2, закрыт в curl 8.23.0 с оценкой HIGH. Сам автор curl объясняет, как так вышло и что меняют, чтобы не повторилось.
https://habr.com/ru/articles/1095828/
5. Шлюз увидел «user», сервис увидел «admin», а JSON был один и тот же -
{"role": "user", "role": "admin"} это валидный JSON, и два парсера прочитают его по-разному. Пять таких расхождений и что они делают с правами доступа.https://habr.com/ru/companies/otus/articles/1092516/
6. Air gap‑кластеры Kubernetes: сеть закрыта, но не безопасна - отрезали интернет и решили, что всё под контролем. Один реестр образов на все зоны, неподписанные артефакты и устаревшая база уязвимостей, плюс четыре практики для закрытых кластеров.
https://habr.com/ru/companies/chislitellab/articles/1096728/
7. Slopsquatting: как мы 20 лет учили разработчиков не доверять пакетам, а потом всем скопом доверились LLM - модель выдумывает имя библиотеки, а атакующий успевает опубликовать пакет с таким именем первым. Про новую дыру в цепочке поставок, которую мы вырыли себе сами.
https://habr.com/ru/companies/cloud4y/articles/1094488/
Начните с первой, если у вас есть PHP в проде: патчи вышли вчера. Вторую стоит показать всем, кто качает бинарники в CI без проверки хеша. У вас хеши прописаны?
#DevSecOps #Хабр