Официальный security-релиз PHP от 21 октября 2026: CVE-2026-109618 и CVE-2026-109619 закрыты. Какие версии ставить, кого бьёт, временные меры и проверка после обновления.
PHP предупредил о двух критических RCE (CVSS 9.2). Информация утекла до disclosure. Что известно, какие версии ждать и что делать админам WordPress/Битрикс прямо сейчас.
XML-RPC и Application Passwords — разные входы. Как я закрываю xmlrpc.php на nginx, почему фильтр xmlrpc_enabled не считается закрытием, и как не оставить токен приложения с правами администратора.
Почему REPLACE по дампу оставляет рабочий siteurl и мёртвые виджеты. Как я меняю домен через WP-CLI с учётом сериализации, какие варианты URL не забыть и что проверить за ночь.
Как я разбираю взломанный WordPress: снимок и стоп, сверка ядра, mu-plugins и drop-in, PHP в uploads, база и cron, поиск дыры по логам. Почему одного сканера мало и что проверить за ночь.
Как я режу брутфорс на wp-login.php и xmlrpc.php через nginx limit_req, не закрывая офис за NAT и не превращая отказ в 503 по всему PHP. Отдельные зоны, POST-only, real_ip и почему system.multicall лимитер не видит.