WebTeamStorm | Severtain (Блог о разработке)

❗️Вслед за PHP следует обновиться и разработчикам React / Next.js / Node.js

Эти технологии активно используются при создании корпоративных сайтов, веб-сервисов и систем. В определённых конфигурациях обнаруженные уязвимости могут позволить злоумышленнику выполнить код на сервере.

В зависимости от системы это может создать риск для данных, доступности сервиса и инфраструктуры компании.

Что рекомендуется сделать?

• Проверить версию Next.js. Для веток 16.x и 15.x исправления выпущены в версиях 16.4.1 и 15.5.28 соответственно.
• Если React Server Components используются отдельно от Next.js, проверить пакеты react-server-dom-webpack, react-server-dom-parcel и react-server-dom-turbopack. Исправленные версии: 19.0.9, 19.1.10, 19.2.9 и 19.3.1.
• Обновить Node.js до исправленной версии своей ветки: 22.23.4, 24.22.1 или 26.12.1.
• Проверить зависимости в контейнерах и CI/CD, затем выполнить тесты и повторно развернуть приложение.
• Если используется версия Node.js с завершившимся сроком поддержки, запланировать переход на поддерживаемую ветку.

Не каждый сайт находится под угрозой, а само наличие уязвимости не означает, что система уже взломана.

Но своевременная проверка и установка исправлений обычно обходятся дешевле, чем устранение последствий успешной атаки.

Источники:
• React — Security Advisory
• Next.js — Security Update
• Node.js — Security Releases

🚨Сегодня вирусится информация о серьёзных уязвимостях в PHP, затрагивающих сайты на уязвимых версиях.

Проблема не в CMS или плагинах, а в самом PHP. Под угрозой могут оказаться WordPress, Bitrix, Laravel и самописные проекты. Причём в некоторых конфигурациях атака возможна ещё до выполнения кода самого сайта.

Что делать?

Разработчики уже выпустили экстренные исправления.

• Нужно проверить версию PHP, которая фактически обслуживает сайт.
• Обновиться до исправленной версии: 8.5.12, 8.4.27, 8.3.36 или 8.2.35.
• Для PHP 7.4, 8.0 и 8.1 тоже подготовлены исправления в исходниках. Но обычных официальных релизов для этих версий уже не будет - нужно проверять наличие исправленных пакетов у поставщика ОС или поддержки.

Переживать и бояться этого не стоит, но и затягивать с обновлением нельзя. Отсутствие видимых признаков взлома ещё не означает, что всё в порядке. Пытаться перебежать на другой стек, например Next.js, только из-за подобных новостей тоже не стоит. Уязвимости регулярно находят во всех популярных технологиях.

В целом автоматизация атак развивается, а ИИ дополнительно упрощает злоумышленникам поиск уязвимостей. Но автоматическое сканирование и массовые атаки существовали задолго до появления ИИ.

Вывод ровно один: регулярно поддерживаем проекты, следим за актуальностью софта и новостями безопасности. Это не гарантирует защиту от всех атак, но существенно снижает риск серьёзных инцидентов.

📌Официальный лог: https://www.php.net/archive/2026.php#2026-10-21-5