Лось в проде

Чё то подумал: а прикиньте масштаб ущерба, если у OpenAI когда-нибудь сольют историю чатов с привязкой к аккаунтам? )

В одном чате человек чинит рабочий код. В другом придумывает, как объяснить покупку третьей видеокарты, если первые две «точно были последними». Потом просит составить план похудения с одним условием: спаржу и соусы не трогать.

Чтобы получить нормальный ответ, приходится давать контекст. И человек сам старательно дописывает своё досье: «нет, ты не понял, сейчас объясню подробнее» :DD

Если представить такой слив, у мошенника окажется куча деталей для очень убедительного сообщения. Где человек работает, какой проект горит, с кем общается. Можно сослаться на реальную задачу и попасть ровно в тот момент, когда человек ждёт помощи.

Ещё в этом архиве могут оказаться чужие данные. Переписка с коллегой, документ клиента, кусок кода со случайно вставленным ключом. Один человек поговорил с ассистентом — последствия разошлись по всему отделу.

И разбирать такой слив можно было бы теми же нейросетями. Загрузить переписки и попросить найти сотрудников конкретной компании или упоминания внутренних сервисов. Даже читать всё вручную не пришлось бы.

Пароль после утечки можно сменить. С подробностями своей жизни такой фокус уже не пройдёт.

Теперь привычное «ты же помнишь, я тебе рассказывал» звучит чутка тревожнее :D

PHP сегодня устроил мне внеплановую перепись серверов :D

21 октября команда PHP выпустила исправления двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. Обе получили 9,2 из 10 по CVSS 4.0.

Речь о выполнении чужого кода на сервере без авторизации. Одна ошибка связана с обработкой нехватки памяти, вторая — с состоянием, которое остаётся от предыдущего запроса в том же рабочем процессе PHP.

Проверять нужно PHP, который обслуживает веб-запросы: PHP-FPM, Apache с mod_php, CGI, FrankenPHP, LiteSpeed. Команда PHP отдельно выделяет mod_php как самый высокий риск: атака может сработать ещё до выполнения кода приложения. До проверки пароля дело может вообще не дойти.

Я прошёлся по трём своим серверам, обновил 42 пакета и заодно нашёл PHP 7.4, который тихо обслуживал Roundcube. Веб-почту перевёл на исправленный PHP 8.3, старый обработчик остановил и заблокировал его запуск. Перепись перешла в археологию :DD

Если у вас есть PHP на сервере:

1. Найдите все работающие обработчики. Проверьте PHP-FPM, Apache и контейнеры. Один php -v в консоли показывает версию консольного PHP; сайт может обслуживать другая сборка. Загляните и в веб-почту с phpMyAdmin — там тоже бывает PHP, о котором все забыли.
2. Сохраните конфиги и установите исправления. Для поддерживаемых веток PHP это 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 или более новые версии. Дистрибутивы Linux могут выпускать свои пакеты с перенесёнными исправлениями.
3. Перезапустите обработчик PHP. Если используете Apache с mod_php, перезапустите Apache. Для Docker обновите образ и пересоздайте контейнеры. Старые процессы должны завершиться, иначе они продолжат обслуживать запросы со старым PHP.
4. После обновления проверьте вход в приложение, API и загрузку файлов. Для магазина — ещё и оформление заказа.

Например, в Ubuntu 24.04 исправленный пакет называется 8.3.6-0ubuntu0.24.04.13. Само число 8.3.6 в выводе PHP останется прежним — смотреть нужно полную версию пакета. Бюллетень Ubuntu.

Для PHP 8.1 и старше нужно подтверждение исправлений от поставщика пакетов либо переход на поддерживаемую ветку. Сам проект PHP эти версии уже не поддерживает.

Если исправление пока недоступно, временно ограничьте внешний доступ к уязвимому PHP-сервису, например через VPN. Рекомендованные командой PHP изменения настроек дают только частичную защиту.

Хостеру или подрядчику можно переслать официальное сообщение PHP и попросить точную версию пакета после обновления вместе с подтверждением перезапуска обработчиков. «Обновили на сервере» без этих деталей я бы ещё перепроверил.

Посмотрел у Жекича Дубровского гонки, где восемь блогеров поставили на кон свои тачки. Проиграл заезд — отдаёшь ключи. Победитель забирает весь автопарк. Вернее, что от него доедет до конца :D

На старте — тачки до 500 тысяч, полноприводные Subaru и Toyota, жиги и Жекич на Nissan Cedric. Трассу полили, все скользят, обгонять тесно. Правила участники обсуждают между заездами, а потом ещё долго выясняют, где было касание, а где тебя уже вынесли.

Жекич глохнет прямо посреди гонки, и для ремонта просят принести камень. Настя Туман срезает трассу и влетает в соперника. Перед очередным заездом звучит «я вроде притянул колесо». Слово «вроде» в этот момент особенно радует :DD

А восьмёрка Гриши всю дорогу треплет нервы полному приводу. Потом её выигрывает Саня Ткач, получает короткий инструктаж, как первую передачу с задней не перепутать, и на ней же забирает решающий заезд. Все восемь тачек уезжают к нему.

Нарезал две минуты обгонов, столкновений и угара. Звук оставил родной — эти переговоры перед стартом жалко вырезать.

Полный выпуск — Жекич Дубровский

Посмотрел «Царя горы» у Гордея. Нужно первым заехать на прицеп и забрать 500 тысяч. С каждым заездом задача «заехать» всё чаще превращается в «вылезти» :DD

Около 26-й минуты

Заезд пошёл немного по другой оси

После такого я бы ещё минут десять искал, где верх. А тут ставят тачки на колёса и продолжают выяснять, кто первым заехал на прицеп.

Нарезал почти 10 минут: сначала эти падения, потом остальные перевороты, жёсткие столкновения и угар со всех заездов, включая ночную свалку. Звук оставил родной. Пассажиры там работают дополнительной сиреной :D

Полный выпуск — Дима Гордей, «Царь горы»

горевания. Это корреляционное исследование; оно не доказывает, что видения сами по себе предотвращают тяжёлое горе. Исследование семей.

22. Куда девается надежда и продолжается ли внутренняя жизнь — 1:04:58, 1:07:17.

По словам Керра, надежда меняет предмет: выздороветь, получить облегчение, побыть с близкими, оставить их в безопасности. Он также говорит о возможности психологического роста при физическом ухудшении.

При этом надежда не обязана принимать одну форму, а тяжело больной человек не обязан демонстрировать духовный рост или оптимизм.

23. Нужно ли обязательно «бороться» со смертью — 1:10:20.

Керр считает, что военная метафора не всегда соответствует опыту пациента. Некоторые люди стремятся к отдыху, облегчению или воссоединению с близкими в своих переживаниях. В качестве примера он показывает рассказ Хораса о жене и ярком, успокаивающем внутреннем мире.

Я бы подбирал язык помощи под желания самого человека. Фраза о том, что кто-то «недостаточно боролся», приписывает ему ответственность за исход болезни.

24. Что изменил собственный рак врача — 1:12:40.

Керр рассказывает о раке четвёртой стадии, беспокойстве за зависимых от него людей и длительном восстановлении. Потеря привычной активности заставила его замедлиться. В эпизоде с посаженными много лет назад ивами он замечает необычную красоту: деревья остались прежними, изменилось его внимание.

25. В чём смысл жизни и для кого написана его книга — 1:15:56.

Керр не предлагает строгого определения смысла. Он говорит о любви, взаимной зависимости и способности проходить трудности вместе. Книгу он адресует людям, ухаживающим за близкими, размышляющим о смертности или пытающимся понять увиденные предсмертные переживания.

Я бы спросил себя: какие отношения и занятия делают мою жизнь значимой и сколько внимания они получают сейчас?

26. Чем отличается опыт детей — 1:17:15.

Керр описывает детей, получавших утешение от образов животных, знакомых людей или безопасного места, и замечает их заботу о родителях. В интервью есть история 13-летней Джессики, не хотевшей испугать маму своим рассказом о видении.

Обобщение «дети уже принимают смерть» требует осторожности. Понимание смерти зависит от возраста, развития и опыта, дети могут испытывать страх и нуждаться в честном, подходящем возрасту разговоре. Одна из профильных публикаций команды — описание отдельного случая 15-летней пациентки; оно не устанавливает закономерности для всех детей. Детское исследование, NCI о возрастных различиях понимания смерти.

Вопросы, которые остаются после интервью

• Как различить действие памяти, сна, лекарств, заболевания и переживания близости, сохранив уважение к пациенту?
• Как устроены переживания тех, кто не может сообщить о них или не прошёл когнитивный скрининг?
• Как понять пожелания близкого и помочь ему сейчас?

места долголетия в рейтинге нельзя выводить согласие всех пациентов отказаться от продления жизни.

15. Что не так с индустрией долголетия — 42:42.

Гость критикует обещания контроля над старением и советует больше внимания уделять качеству жизни, движению, еде и общению. Он ссылается на статью Science об оценке наследуемости продолжительности жизни примерно в 55%.

Это работа 2026 года с поправкой на внешние причины смерти. Однако 55% описывают долю вариации признака в определённой модели и популяции. Это не означает, что срок жизни отдельного человека на 55% заранее назначен генами, и не доказывает бесполезность профилактики. Исследование Science.

16. От чего зависит спокойное принятие смерти — 43:44.

Ответ Керра — от любви, которую человек отдавал и получал.

Боль, делирий, тревога и обстоятельства могут осложнить последние дни человека, которого очень любят. Спокойствие при смерти нельзя использовать как оценку прожитой жизни или качества отношений.

17. Что происходит с теми, кто одинок, и все ли умирают в одиночестве — 44:24, 1:07:55.

Керр рассказывает о женщине, почти не знавшей безопасной привязанности, и о сне, в котором она ощутила, что её любили. Позже он различает внешнее одиночество и внутреннее чувство связи: в описываемых пациентами переживаниях рядом часто оказываются значимые люди.

Однако внутренний опыт конкретного молчащего пациента недоступен наблюдателю. Нельзя обещать, что любой внешне одинокий человек непременно чувствует себя окружённым любовью.

18. Могут ли перед смертью ослабеть старые травмы — 46:47, 1:09:04.

Гость приводит истории человека, потерявшего руку в детстве, и матери, считавшей себя виноватой в судьбе сына. В описываемых переживаниях они получают признание и успокоение.

Здесь трудно разделить вклад воспоминаний, отношений, ухода, психологических процессов и изменений состояния организма. Вывод «к концу жизни всё само разрешится» из интервью не следует.

19. Есть ли жизнь после смерти — 48:11.

Керр предполагает продолжение связи или некоторое общее сознание. Ведущий предлагает образ Вселенной, познающей себя через живые существа. Оба обсуждают философские возможности.

Эти исследования не проверяют сохранение личности после необратимой смерти мозга. Реалистичность образов и сходство рассказов сами по себе не доказывают продолжение сознания.

20. Помогают ли психоделики уменьшить страх смерти — 50:53.

Керр кратко говорит об изменении чувства связи с миром и уменьшении страха после психоделического опыта. Исследования действительно есть: в рандомизированной работе Johns Hopkins с 51 онкологическим пациентом псилоцибин в условиях психологического сопровождения улучшал ряд показателей, включая принятие смерти и тревогу по её поводу.

Из этого нельзя выводить гарантированный эффект для всех или эффективность самостоятельного применения. Речь об отобранных участниках и контролируемой процедуре. Johns Hopkins о результатах исследования.

21. Что помогает пережить утрату и проходит ли горе — 52:45–1:03:30.

Керр обсуждает сохранение связи с умершим, присутствие рядом, открытые разговоры и признание происходящего. Он рассказывает о Патрике, которому приснилось приготовление соуса с бабушкой: семья затем готовила этот соус вместе, и для его партнёрши это стало значимым воспоминанием последних дней.

Он также вспоминает смерть отца, когда самому было 12 лет. Его образ горя — камень в кармане: со временем меняется ощущение его веса и присутствия. Связь с умершим может сохраняться в памяти, привычках и собственных поступках.

Исследование команды действительно обнаружило связь позитивного восприятия предсмертных переживаний с некоторыми более благоприятными показателями

спорит с популярной формулой «пять главных сожалений умирающих». В его практике люди редко самостоятельно делают сожаления центральной темой последних дней. Он различает наличие сожалений и их место среди текущих потребностей.

Ответ на прямой вопрос о сожалениях не показывает, о чём человек думает большую часть времени. Бронни Уэр сама описывает свою известную книгу как мемуары, возникшие из опыта ухода и разговоров. При этом Керр позже приводит случаи тяжёлого раскаяния. Первоисточник Уэр.

9. Что пациенты считают самым важным — 19:11–51:35.

В интервью постепенно раскрывается такой порядок:

Место | Приоритет пациентов в представленном сравнении
1 | Не стать обузой для семьи
2 | Проводить время с семьёй и друзьями
3 | Контролировать боль и другие симптомы
4 | Быть в мире с Богом
5 | Сохранять ясность сознания
6 | Умереть дома
7 | Добиться соблюдения своих пожеланий по уходу и лечению
8 | Чувствовать, что жизнь имела смысл
9 | Жить как можно дольше
10 | Привести в порядок финансовые дела
11 | Разрешить конфликты

Керр трактует четвёртый пункт шире конкретной религии — как экзистенциальное примирение.

В исследовании участвовали 80 пациентов хосписа и 176 студентов-медиков. Студенты иначе ранжировали семь из одиннадцати целей. Есть существенная неточность самого интервью: на 41-й минуте возникает впечатление свободного выбора из множества вариантов, тогда как методика публикации описывает опросник из 11 заранее заданных целей. Публикация о приоритетах.

10. Не уходит ли жизнь на второстепенное — 21:23, 32:38.

Ведущий сопоставляет карьеру, деньги и наследие с тем, кто окажется рядом в последние дни. Керр делает акцент на принадлежности, взаимной зависимости, отношениях и способности замечать ценные моменты.

Приоритеты последних дней не доказывают бессмысленность работы, творчества и амбиций на других этапах жизни. Я бы проверил, получают ли время люди и занятия, которые я сам считаю важными.

11. Больно ли умирать — 26:33.

Керр утверждает, что ожидаемое страдание нередко сильнее реального при качественной помощи, и подчёркивает возможности обезболивания.

Боль и одышку часто удаётся облегчить, но спокойное течение не гарантировано. NCI указывает, что боль в последние часы обычно поддаётся контролю. NCI о последних днях жизни.

12. Почему медицина иногда мешает желаемому завершению жизни — 28:36.

Керр обсуждает чрезмерные вмешательства, позднее признание неизлечимости, недостаток помощи на дому и расхождение между продлением биологических функций и желаниями пациента. Он напоминает, что хосписная помощь может оказываться дома.

Паллиативная помощь может сочетаться с лечением болезни. Дом подходит не всем: значение имеют предпочтения, симптомы, доступная помощь и возможности семьи. Само место смерти не определяет качество заботы. NCI о паллиативной помощи.

13. Бывает ли тяжёлое раскаяние — 33:36.

Да. Керр рассказывает о бывшем полицейском, исповедовавшемся в причинённом вреде, и о Дуэйне, переживавшем пугающие сны. По его рассказу, Дуэйн попросил прощения у дочери, выразил ей любовь, после чего между ними появилась близость.

Предсмертное примирение способно иметь личную ценность, но оно не устраняет последствия причинённого вреда и не создаёт обязанности пострадавших простить.

14. Хотят ли умирающие получить больше времени любой ценой — 41:06.

По словам Керра, его пациенты чаще хотят жить настолько хорошо, насколько возможно; максимальная продолжительность жизни отходит на второй план.

Для решений нужны индивидуальные предпочтения: дополнительное время имеет разную ценность при разных симптомах, вероятностях улучшения и личных обстоятельствах. Из низкого

Разбор интервью Кристофера Керра о конце жизни

В интервью The Diary Of A CEO хосписный врач Кристофер Керр рассказывает о последних неделях жизни: предсмертных снах, страхе смерти, сожалениях и том, что помогает пациентам и их близким. Разговор затрагивает горе, отношения и смысл жизни.

1. Зачем врач беседовал с умирающими — 02:05.

Керр рассказывает, что медицинское образование подготовило его бороться с болезнями, а в хосписе пришлось учиться понимать самих пациентов: чего они боятся, что их успокаивает и чего они хотят от оставшегося времени. Он говорит примерно о 1 500 опрошенных за годы работы.

2. Видят ли люди умерших близких — 03:23.

Многие пациенты Керра рассказывают о ярких снах и переживаниях наяву, в которых встречают близких или питомцев. Часто это повседневные сцены: совместная еда, присутствие любимого человека, ощущение возвращения домой.

В исследовании Керра 2014 года итоговая выборка составляла 59 пациентов одного хосписа. Поэтому звучащие в интервью «почти 90%» нельзя автоматически переносить на всех умирающих. Исследование фиксирует рассказы пациентов и их эмоциональное значение; оно не устанавливает, что умершие присутствовали физически. Исследование 2014 года.

3. Какие истории сильнее всего повлияли на врача — 09:08.

Его особенно впечатляют пациенты, находившие успокоение после многолетней травмы, и дети. Он приводит истории ветерана с травматическими воспоминаниями и женщины, переживающей во сне встречу с умершими мужем и дочерью. По отдельным историям нельзя установить частоту подобного исхода или его механизм.

4. Чем это отличается от обычных снов — 11:25.

Пациенты описывают исключительную реалистичность, ясность и сильное чувство присутствия. Некоторые настаивают, что это было событие, а не сон.

Ощущение «это было совершенно реально» характеризует опыт человека. Само по себе оно не позволяет установить источник образа или существование собеседника вне сознания.

5. Это биология, духовность или душа — 13:40.

Керр признаёт отсутствие известного объяснения и затем говорит о своей вере в душу и духовную природу происходящего. Обсуждаются и сообщения людей, переживших утрату, об ощущении присутствия умершего. По словам гостя, религиозность не оказалась определяющим условием таких переживаний в его работах.

Аргумент о невозможности воспроизвести любовь в чашке Петри не доказывает независимость сознания от мозга. Опросы об ощущении присутствия измеряют сообщения и убеждения людей, а не существование загробного мира.

6. Можно ли объяснить всё делирием — 15:57.

Керр говорит, что в исследованиях перед опросами проверяли когнитивное состояние и исключали делирий. Это делает объяснение «все участники просто были спутаны» недостаточным. Однако его описание делирия как преимущественно пугающего и хаотичного чрезмерно упрощено.

Делирий бывает и гипоактивным: человек выглядит сонливым и тихим. Спокойствие или связный рассказ сами по себе его не исключают. При этом NCI отдельно признаёт, что в конце жизни встречаются переживания с образами умерших, не связанные с делирием. Типы делирия, симптомы последних дней жизни.

7. Какие представления об умирании ошибочны — 16:58.

Гость описывает постепенное уменьшение активности, больше сна, снижение аппетита и жажды.

Образ «постепенно гаснущего света» подходит к части наблюдений в хосписе, но не описывает все причины и варианты смерти. Фразу «нельзя умереть, если не можешь спать» нельзя принимать как физиологическое правило. Снижение бодрствования при умирании, обычный сон и медикаментозная седация — разные состояния.

8. Правда ли, что перед смертью всех мучают сожаления — 18:18, 31:31, 51:35.

Керр

25 900 отказов SSH за сутки. Приёмная работает круглосуточно :D

FirstVDS прислал уведомление об инциденте: 17 октября через уязвимость VMmanager 6 атакующие получили доступ к дискам части клиентских VPS. Мой сервер оказался в списке затронутых.

В публичном объявлении провайдер сообщил, что отключил внешнее управление виртуализацией, вендор выпустил промежуточный патч, расследование продолжается. Клиентов попросили считать секреты на затронутых серверах скомпрометированными и сменить доступы. Письмо заметно расширило мой список дел.

Посчитал журналы двух своих VPS за 18 октября:

• Первый сервер: 16 077 отказов, 387 разных IP.
• Второй: 9 823 отказа, 98 IP.
• Вместе: 25 900 отказов с 450 адресов. 35 источников посетили оба сервера.

В среднем — 18 отказов в минуту, один каждые 3,3 секунды. Пиковый отрезок — 83 за 60 секунд. Считал отказы авторизации: одна SSH-сессия может дать несколько записей.

По GeoJS получилось 55 стран и территорий. Из них:

• Китай — 125 IP;
• США — 41;
• Южная Корея — 31;
• Индия — 26;
• Болгария — 20;
• Россия — 10.

Адреса, отнесённые базой к Болгарии, дали 8 017 отказов. Одна подсеть 109.160.32.0/24 — 7 608 с 16 IP, почти 30% всей выборки. География IP примерная: за адресом может быть прокси или заражённое устройство, местонахождение самого атакующего она не устанавливает.

Связь этого SSH-подбора с инцидентом FirstVDS пока не установлена. Зато у меня теперь есть статистика посещаемости, которую я вообще-то хотел видеть у своих сайтов :DD

Начало про теслу - правда )) Но потом жара начинается с тем как это будет потом ))