# ⚡ TN #124: Critical vulnerabilities in PHP, VMmanager 6, and Node.js > Канал: **Довольный** (@traffink) > Дата: 26 октября 2026 > Длительность: 11:10 > Категория: digest > Источник: https://www.youtube.com/watch?v=HUgB2ak6hz0 > Страница: https://aff.top/videos/tn-124-critical-vulnerabilities-in-php-vmmanager-6-and-nodejs ## Краткое содержание Выпуск объединяет несколько актуальных новостей для арбитражников и IT-команд. Критическая уязвимость PHP с оценкой до 9 из 10 позволяла удалённо выполнять код без авторизации; обновление необходимо системам на PHP-FPM, Apache mod_php и PHP-CGI. В Node.js закрыли уязвимость в декодере Brotli и проблемы с проверкой TLS. Через VMmanager 6 злоумышленники могли копировать диски, пароли, ключи, конфигурации и криптокошельки клиентов. Также разобраны автоматическая адаптация рекламы в ChatGPT, новые настройки Meta Ads, ужесточение борьбы с нелегальными ставками в Бразилии и конкуренция за доменную зону .agent. ## Ключевые тейки - **PHP нужно обновить без промедления** — Уязвимость затрагивает разные варианты обработки PHP-запросов и позволяет выполнять код без авторизации. Надёжный способ защиты — установить срочные обновления, а не ограничиваться настройками сайта. - **Взлом VMmanager мог остаться незаметным** — Атакующие подключали диски виртуальных серверов извне, поэтому внутри ВМ могло не быть вредоносных файлов. При инциденте следует считать скопированными пароли, SSH- и API-ключи, конфигурации и кошельки. - **ChatGPT будет менять рекламные креативы** — Функция Creative Enhancement сможет переписывать тексты, переводить объявления, изменять изображения и вести на другую страницу. Рекламодателю важно проверить настройки Ads Manager и отключить функцию при необходимости. - **Meta расширяет автоматизацию показа** — Возраст и пол можно задавать для отдельных креативов внутри адсета, но Meta может расширить аудиторию алгоритмически. Product Browsing также включается для части активных объявлений и меняет путь пользователя после клика. - **Бразилия усиливает давление на нелегальные ставки** — Власти направили на блокировку более 20 тысяч сайтов и площадок и создали постоянное подразделение полиции. Иностранная регистрация оператора не исключает расследований и международного сотрудничества. - **За домен .agent развернулась конкуренция** — На зону .agent подали 13 заявок, среди претендентов — Google, OpenAI и Meta. Победитель получит возможность определять правила регистрации доменов, связанных с AI-агентами. ## Вопросы и ответы ### Какие системы затронула критическая уязвимость PHP? Под угрозой оказались системы, обрабатывающие запросы через PHP-FPM, Apache с mod_php, PHP-CGI и другие варианты. Исправление требует обновления PHP. ### Что могли украсть при атаке через VMmanager 6? Злоумышленники могли скопировать диски виртуальных серверов, файлы, пароли, SSH- и API-ключи, облачный доступ, конфигурации, историю команд и криптокошельки. ### Как OpenAI будет адаптировать рекламные объявления? Creative Enhancement сможет менять заголовки и описания, переводить текст, изменять размер изображения и направлять пользователя на другую страницу с учётом контекста диалога. ### Что изменится в Meta Ads после включения Product Browsing? После клика пользователь сначала может увидеть страницу товара и рекомендации внутри Facebook или Instagram, а затем перейти на сайт. Функцию можно отключить через Opt-out. ### Какие риски появились для офшорных беттинг-операторов в Бразилии? Бразильские власти блокируют нелегальные площадки, создают постоянное подразделение полиции и заявляют о намерении устанавливать организаторов за рубежом через международные механизмы. ## Темы - Уязвимости PHP - Безопасность серверов - VMmanager 6 - Node.js - ChatGPT Ads - Meta Ads - Гемблинг в Бразилии - Домены .agent ## Фрагмент транскрипта [музыка] >> Всем привет. Меня зовут Макс Довольный, а это такие новости. Еженедельный дайджест самых интересных событий из мира интернет-маркетинга, IT и арбитража трафика. Напомню, каждый выпуск мы разыгрываем фирменный мерч и USDT за поддержку. Подробности в закреплённом комментарии. А выпуски этих видео выходят при поддержке проверенных партнёров Leads Vision, Badboom Partners и AdCombo. Ссылки в описании. За несколько дней сразу три жёстких сюжета с безопасностью серверной инфраструктуры. Критическая уязвимость PHP, Node.js, а также взлом через VM Manager 6. Начнём с PHP. 21 октября команда выпустила срочные обновления, сразу две уязвимости с оценкой 9 и 2 из 10. Именно они позволяли выполнить код на сервере без авторизации. Проблема находится в самом PHP, а не конкретно в каком-то сайте или плагине. Под угрозу попали системы, которые обрабатывают веб-запросы через PHP-FPM, Apache с mod_php, PHP-CGI и другие варианты. Разработчики прямо говорят, полностью закрыть проблему можно только лишь обновлением. В целом, из-за уязвимости по всему миру начали в срочном порядке отключать сайты, пока не появится апдейт и уверенность, что именно он будет защищать от уязвимости. Сама AWS обнаружила попытку эксплуатации на своём ханипоте ещё 17 октября, то есть за 4 дня до публичного раскрытия уязвимости. Это не доказывает, что тогда взломали реальные серверы, но после публикации деталей AWS уже сообщала о широких попытках эксплуатации уязвимости. Далее, 21 октября обновление выпустили и Node.js. В одном из исправлений закрыли уязвимость в декодере Brotli, которая может привести к удалённому выполнению кода. Патчи вышли для веток 22, 24 и 26. В том же релизе исправили и другие проблемы, в том числе уязвимости, связанные с проверкой TLS сертификатов. А вот с VMmanager 6 история ещё интереснее. FirstVDS сообщили, что 17 октября злоумышленники проникли в часть инфраструктуры через уязвимость в системе управления виртуализацией. По данным провайдера, они подключали диски клиентских виртуальных серверов извне и копировали файлы, пароли, SSH и API ключи, а также облачный доступ и конфигурации, историю команд и криптокошельки. Внутри самих виртуальных машин вредоносная программа не запускалась, поэтому обычная проверка сервера могла не показывать следов взлома. FirstVDS уведомил затронутых клиентов и рекомендовал считать данные с их серверов скопированными. То есть, всё, что у вас лежало на серверах, скорее всего, спёрли. Вот примерно так это звучит. Jelastic также отключил панели управления после эксплуатации уязвимости. В части локаций компания подтвердила компрометацию. Но сообщила, что пока не обнаружила доказательств копирования клиентских данных. При этом это три разных события, а не одна общая атака. Вот PHP, VMmanager и Node.js. И здесь хочется немножко о другом. Чем мощнее становится AI, который мы учим, тем больше подобных дыр мы будем слышать всё чаще. OpenAI собирается автоматически включать в ChatGPT Ads функцию Creative Enhancement. Она сможет п… *(Полный транскрипт на странице видео.)* --- Источник данных: aff.top — открытая база арбитражного коммьюнити. Канонический URL: https://aff.top/videos/tn-124-critical-vulnerabilities-in-php-vmmanager-6-and-nodejs