Hacker News Digest

Исследователи Wiz обнаружили в ядре PHP критические уязвимости, позволяющие без аутентификации выполнять код на сервере и читать память процесса — там могут лежать пароли, токены, API-ключи и сертификаты других запросов. Проблемы затрагивают почти все версии PHP за последнее десятилетие, начиная с 5.4, а сам язык лежит в основе WordPress, Drupal, Joomla и MediaWiki, на котором работает «Википедия». Уязвимости получили общий рейтинг CVSS 9.2 и не зависят от кода приложения поверх PHP.

Корень проблем — архитектурные решения более чем десятилетней давности. Эксплуатация требовала исключительно сложной цепочки шагов и подстройки под раскладку памяти каждой цели, что было на грани человеческих возможностей. Пограничные ИИ-модели существенно снизили этот барьер: с их помощью рабочие эксплойты для разных приложений удавалось собирать за часы. В ходе работы подтвердили удалённое выполнение кода на Drupal и WordPress, а 21 октября 2026 года вышли патчи. Авторы сравнивают находку с Heartbleed и Log4Shell и предупреждают: сложность перестаёт быть надёжной защитой, но те же инструменты дают защитникам шанс находить и закрывать давние дыры.

Обсуждение дополняет статью деталями о раскрытии уязвимости, роли ИИ и влиянии на инфраструктуру, включая отключение государственных сайтов. Уязвимость оценивается как критическая (на уровне Log4Shell и EternalBlue), так как затрагивает ядро PHP и популярные CMS (WordPress, Drupal, Joomla). Технически проблема в том, что фатальные ошибки (преимущественно OOM) оставляют поврежденное состояние памяти, которое может быть переиспользовано следующим запросом в рамках одного воркера PHP-FPM. При этом @WJW отмечает, что Wiz и Calif не детально описали механизм перехода от Use-After-Free к полноценному RCE. Пользователи спорят о независимости открытия: @fwlr предполагает, что OpenAI могла воспроизвести баг из обучающих данных после работы Calif, а @ToValueFunfetti считает LLM недостаточно эффективными для обучения по одиночным примерам. В то же время @asbv-1qq советует использовать ИИ для аудита legacy-систем, так как он эффективно находит баги в коде старше 20 лет. Отмечена проблема «ответственного раскрытия»: между отчетом Wiz (24 августа) и подтверждением PHP Foundation (21 сентября) прошел месяц, а ранее произошли утечки в соцсетях. Для временного смягчения утечки памяти (memory disclosure) предлагается снизить параметр pm.max_requests для более частого перезапуска воркеров, однако это не поможет против type confusion в OPcache.

Уязвимость в WordPress позволяет неавторизованному атакующему выполнить произвольный код через путь обхода в функции get_page_template(). При определённых условиях атакующий может заставить систему включать локальный .php-файл за пределами активной темы, что при наличии уязвимого файла вроде pearcmd.php и включённой директивы register_argc_argv приводит к удалённому выполнению кода (RCE).

Для эксплуатации необходимо, чтобы активная тема (родительская или дочерняя) содержала каталог верхнего уровня, имя которого начинается с page- (например, page-templates). Это затрагивает темы Twenty Twelve, Twenty Fourteen и популярные сторонние темы вроде Neve, Hestia и Sydney. Кроме того, на сервере должен существовать читаемый веб-сервером .php-файл — например, pearcmd.php из PEAR, который при register_argc_argv=On позволяет достичь RCE. Уязвимы официальный Docker-образ PHP и стандартная конфигурация cPanel при использовании PHP ниже версии 8.5.

Проблема исправлена в WordPress 7.1.2, а также бэкендпортирована во все поддерживаемые ветки, начиная с версии 4.7. Уязвимость обнаружена и ответственно раскрыта Робертом Ressl.

WordPress остаётся одной из самых атакуемых платформ из-за популярности и унаследованной архитектурной хрупкости, а не только из-за отдельных уязвимостей. Многие переходят на статические генераторы (Hugo, Astro) ради безопасности и простоты, чтобы избежать постоянных обновлений, плагинов и сложности управления. Уязвимость, связанная с pearcmd.php и register_argc_argv, требует специфических условий, но они часто встречаются на старых установках, особенно на общих хостингах. Directory traversal в WordPress известен давно — предупреждали ещё 9 лет назад в официальной документации, что указывает на системное игнорирование безопасности в экосистеме. Несмотря на критику, WordPress используется на ключевых сайтах (например, whitehouse.gov), что подчёркивает его устойчивость в бизнес-среде. Для старых установок можно временно отключить register_argc_argv в php.ini, чтобы нейтрализовать условную RCE-уязвимость. Если не обновляете WordPress, необходимы строгие WAF-правила, особенно при использовании сторонних плагинов. Многие пользователи, перешедшие на статические сайты, используют PHP только для простых задач (выбор языка, устройства), что повышает безопасность и скорость. Споры: CVSS-баллы для уязвимости могут быть преувеличены из-за специфических условий и ограниченного охвата установок. Успех WordPress объясняется не качеством кода, а ранним доступом и простотой для непрограммистов — аналогично Bitcoin в криптовалютах. Плагины — основной вектор атак из-за непрозрачности, отсутствия аудита и устаревания. Даже обновлённые ядра остаются уязвимыми из-за плагинов. Автоматизированные скрипты сканируют wp-* пути — стандартная практика, подтверждаемая логами nginx (бомбы, 403-ответы). Разработчики отмечают: документация неполная, функции не типизированы, код — спагетти, что делает разработку плагинов ненадёжной. WordPress сравнивают с жеваной жвачкой на улице: работает, но использование — компромисс между удобством и постоянным риском. С ростом AI-инструментов, сканирующих весь код, количество выявленных уязвимостей в популярных системах может резко вырасти, так как AI обнаруживает то, что люди игнорируют.

Двенадцать лет назад я написал 174-строчный PHP-полифил для функции http_build_url() как временное решение при переходе CMS AOL с PHP 5.2 на 5.3, когда расширение pecl_http было удалено. Опубликовав его на Packagist, не ожидал широкого распространения — но за годы он набрал почти 20 миллионов установок, включая более 400 тысяч в месяц, и стал частью зависимостей таких проектов, как WPML (используется на 1,5 млн сайтов WordPress), idna-convert и дистрибутивов Debian и Ubuntu.

В процессе использования выявились серьёзные баги, например, удаление всех букв «а» из пути при добавлении слеша в URL из-за некорректного обходного решения с добавлением и удалением символа. Несмотря на предложения новых мейнтейнеров и форков, я решил объявить пакет устаревшим: современные альтернативы вроде URI-библиотеки PHP League и встроенного стандартосоответствующего API в PHP 8.5 превосходят его по надёжности и безопасности. Поддержка устаревшего кода рискует создать уязвимости, особенно при передаче мейнтейнерства непроверенным лицам. Пакет останется доступным, но без исправлений — включая упомянутый баг — чтобы не вводить непредвиденных изменений в зависимости миллионов сайтов. Это был добросовестный временный патч, но время двигаться дальше. P.S. Сам AOL CMS так и не мигрировал с него — использовал до закрытия платформы около 2020 года.

Баг с удалением всех букв 'a' из пути при наличии завершающего слеша в URL известен и обсуждается. Автор признаёт необходимость депреката из‐за багов и наличия альтернативных решений в сообществе. Layer8 отмечает, что без багов пакет остался бы без изменений из‐за широкого распространения. Dolmen предлагает использовать ИИ для генерации исправлений, снижая нагрузку на поддерживающих. Swiftcoder описывает баг: при завершающем слеше в URL удаляются все 'a' из пути. TimWolla сообщает, что пакет помечен как «abandoned» на Packagist без предложенной замены. Jamietanna отмечает, что депрекат будет виден в инструментах и статическом анализе, помогая разработчикам. Edg5000 указывает, что баг остался незамеченным, возможно, нарушив работу множества сайтов. Dspillett уточняет, что баг проявляется только при наличии завершающего слеша. Hk__2 приводит GitHub‐issue, подтверждающий поведение: при соединении пути к URL с завершающим слешем удаляются все 'a'. Staplung цитирует закон Хайрума, подразумевая, что баг может использоваться для удаления 'a'. KellyCriterion выражает обеспокоенность рисками безопасности от устаревших расширений и фиксов.

Мэтт Малленвег вернулся на пост генерального директора Automattic после попытки отстранения его советом директоров. Конфликт возник из-за разногласий по стратегии развития компании, в частности, касающихся направления WordPress и коммерциализации открытого исходного кода. Некоторые члены совета выступили за более агрессивную монетизацию и структурные изменения, что привело к голосованию о смещении Малленвега. Однако после внутренних обсуждений и поддержки со стороны ключевых сотрудников и сообщества разработчиков совет отменил своё решение, восстановив Малленвега в должности.

Автоматтик, материнская компания WordPress.com и ключевого contributors в экосистеме WordPress, подчеркнула, что возвращение Малленвега обеспечивает стабильность и непрерывность видения платформы как открытого и доступного инструмента для публикации. Компания не раскрыла детали внутреннего процесса, но подтвердила, что руководство теперь сосредоточено на долгосрочной стратегии, включая улучшение производительности, безопасности и интеграции с новыми технологиями, сохраняя приверженность принципам открытого исходного кода.

Обсуждение дополняет статью, раскрывая глубокую нестабильность управления Automattic, где личное поведение основателя, а не формальные процедуры, определяет контроль над компанией, что подрывает доверие к корпоративному управлению в целом. Спор: Некоторые считают, что Малленвег вернулся просто после окончания отпуска, а не после успешного сопротивления увольнению, и что совет хотел изолировать компанию от его экстремальных идей после Burning Man. Спор: Один комментатор утверждает, что Малленвег не просто 'сбежал' от увольнения, а намеренно 'сжег' компанию, чтобы не дать её в руки совету, что указывает на намеренное разрушение структуры управления. Многие отмечают, что поведение Малленвега — от блога о лодке до заявления 'я пират, а не тролль' — выглядит как признак психического кризиса, а не стратегического маневра. Пользователи отмечают, что отсутствие прозрачности и отсутствие официальных комментариев от Automattic усиливают ощущение хаоса и непрофессионализма в управлении. Совет: Один участник советует избегать зависимости от Automattic, так как драма вокруг Малленвега делает компанию ненадежным партнером для бизнеса и разработчиков. Совет: Некоторые рекомендуют переходить на другие CMS, такие как Hugo или Shopify, из-за нестабильности WordPress, сложности Gutenberg и постоянных скандалов вокруг Automattic. Комментаторы отмечают, что даже при предложении выходных пособий лишь 8.4% сотрудников ушли, что говорит о глубокой зависимости от компании, несмотря на её хаотичное управление. Спор: Один участник сомневается в достоверности заявления 'спикера компании', считая, что оно могло быть написано самим Малленвегом, как это делал Трамп, что подрывает доверие к официальным источникам. Многие отмечают, что корпоративное управление в Automattic не работает — если CEO может игнорировать решение совета директоров и оставаться у власти, система управления не имеет смысла. Совет: Один участник предлагает использовать опыт Automattic как урок: никогда не передавать контроль над компанией другим, как это сделал Марк Цукерберг в Facebook. Комментаторы отмечают, что отсутствие утечек от сотрудников указывает на страх, молчаливое согласие или полную дезориентацию внутри компании. Несколько пользователей сравнивают ситуацию с феодальной системой, где основатель — как король, а совет директоров — беспомощная знать, что подчеркивает аномалию корпоративной модели.

Эксплуатационные брокеры готовы платить до $500 000 за ноль-день уязвимость в WordPress, способную дать удалённый кодовый доступ (RCE). Автор статьи, используя модель GPT-5.6 Sol Ultra, обнаружил такую уязвимость всего за $25 — стоимость API-запросов. Уязвимость возникла из-за неожиданного взаимодействия между устаревшим плагином и новой функцией обработки шаблонов, которую ИИ смог выявить, проанализировав тысячи строк кода и паттернов ошибок, недоступных для традиционных сканеров.

Исследование демонстрирует, как современные ИИ-инструменты радикально снижают барьеры для поиска уязвимостей: ранее требовавшие месяцев работы экспертов, теперь можно найти за часы с минимальными затратами. Это ставит под угрозу безопасность десятков миллионов сайтов на WordPress, особенно тех, что используют неподдерживаемые плагины. Автор подчёркивает, что даже незначительные изменения в коде плагина могут порождать критические уязвимости, которые люди просто не замечают — но ИИ находит мгновенно.

Обсуждение сомневается в реальности выплаты $500k за уязвимость: подтверждённых случаев нет, брокеры вроде Zerodium платят по частям до устранения бага, а автор связан с компанией, продающей ИИ-сканеры, что бьёт по объективности. Заявленные «$25 на API» игнорируют годы опыта и множество неудачных попыток, лежащих за находкой; заслугу нельзя приписывать ИИ — вклад вносит человек, знающий, где искать и как формулировать промпты. Спорят, почему GPT-5.6 не заблокировал такие промпты (возможно, ослабленные guardrails) и почему брокеры платят автору, а не используют модель сами. WordPress остаётся уязвимым из-за огромной экосистемы плагинов и устаревшей архитектуры, хотя SQL-инъекции через конкатенацию давно ловят SAST и код-ревью. Часть участников подозревает, что история и запутанные идентификаторы выдуманы ради эффектного поста, без упоминания репорта или патча.

Исследование Future of the Web 2026, проведённое WordPress VIP, показывает, что бренды, использующие AI‑оптимизацию контента, получают в среднем 30 % больше упоминаний в больших языковых моделях, что напрямую повышает их видимость. Платформа предоставляет enterprise‑решения: мгновенную производительность, масштабируемость, встроенную аналитику Parse.ly и расширяемую экосистему, позволяющую маркетингу и разработке работать без постоянного привлечения разработчиков.

Кейсы подтверждают выводы: Pew Research Center, усилив видимость в LLM, выпустил крупнейший отчёт в своей истории, а Al Jazeera после перехода на headless WordPress VIP улучшил все ключевые KPI. Партнёры VIP применяют AI для автоматизации рабочих процессов, ускорения публикаций и создания персонализированных аудио‑видео‑опытов, делая контент не просто текстом, а полноценным брендовым опытом.

• Брендинг «AI» часто направлен на инвесторов, а не на конечных пользователей, которые ценят практичность, а не технологический шум.
• Большинство реализованных AI‑фич воспринимаются как ухудшение качества, лишняя сложность и «показуха», вызывающие недоверие.
• Потребители формируют мнение о продукте по собственному опыту, а не по маркетинговым обещаниям о «будущих возможностях».
• Слишком широкая и неопределённая терминология «AI» размывает её смысл, делая её маркетинговым клеймом, а не реальной ценностью.

Суд отклонил ключевые иски WP Engine и Silver Lake: антимонопольные и вымогательские претензии сняты. Дело существенно сузилось — победа для всех, кто поддерживает open-source. Остальные обвинения рассмотрим, уверены в законности своих действий.

• Matt рад «победе» в суде, но юристы и HN-утверждают: большинство исков WP Engine просто отклонены «с возможностью доработки», а не разбиты.
• Сообщество не делит радость: массово уходят с WP.com, ставят ClassicPress/Statamic, смотрят на децентрализованный форк fair.pm под Linux Foundation.
• Репутационный ущерб оценивают выше юридического: «выиграл дело, но потерял доверие», «WordPress больше не рекомендую клиентам».

Gemma 3 270M — самая маленькая модель семейства Gemma 3, всего 270 млн параметров.
Подходит для запуска на смартфонах, микроконтроллерах и в браузере без облака.

• Производительность: на MMLU и HumanEval обгоняет Gemma 2 2B и Llama 3.2 3B, уступает Gemma 3 1B.
• Скорость: на Pixel 8 Pro — 1,2 токена/с, на RTX 4090 — 200 токенов/с.
• Форматы: Keras, JAX, PyTorch, Gemma.cpp, Ollama, Transformers.
• Лицензия: Gemma Terms of Use, коммерческое применение разрешено.

Доступна в Kaggle, Hugging Face, Ollama и через gemma-3-270m-it в Vertex AI.

• Команда представила Gemma 3 270M — сверхкомпактную модель (241 МБ) для локального запуска и тонкой настройки под узкие задачи.
• Пользователи уже тестируют её на телефонах, но жалуются на холлюцинации и слабое следование инструкциям.
• Обсуждаются примеры применения: тегирование статей WordPress, NER/перевод, генерация SVG, «умные» клавиатуры, обработка 50 млн строк в день.
• Многие спрашивают туториалы по дообучению и сравнение с Qwen 0.6B, который показывает лучшее качество при схожем размере.
• Авторы подчеркивают: модель «из коробки» слаба, но после fine-tuning может стать мощным специализированным инструментом.