Что произошло
21 октября 2026 года PHP выпустил исправления CVE-2026-109618 и CVE-2026-109619, вместе известных как PHP2Shell. Эти уязвимости могут позволить запускать код на затронутом веб-сервере без входа в систему. Официальное уведомление PHP описывает затронутые установки и обновления. NSA рекомендовало операторам срочно установить исправления и рассмотреть отключение затронутых систем, если защитить их невозможно. Предупредительное отключение само по себе не доказывает взлом. Операторам нужно проверять текущие рекомендации поставщиков, включая более поздние уведомления, а не использовать эту статью как инструкцию по обновлению.
Что это значит для ваших данных
Непосредственный риск касается сервисов с уязвимыми установками PHP и информации, к которой эти сервисы имеют доступ. Это не доказывает, что любое онлайн-хранилище небезопасно или что ваши файлы утекли. Посетитель не может обновить серверы провайдера. Ограничивайте загрузки, обновляйте свои программы и проверяйте официальные уведомления о безопасности. Если учётная запись затронута, следуйте проверенным инструкциям. Не переходите по ссылкам сброса пароля из неожиданных сообщений: открывайте сервис напрямую. Храните отдельную резервную копию незаменимых файлов.
Где шифрование помогает, а где нет
Шифрование файлов на устройстве перед загрузкой с хранением ключей вне сервера помогает защитить содержимое при краже хранимых копий. Но взлом сервера не становится безвредным: атакующие могут видеть метаданные, удалять файлы или менять код, который веб-приложение отправляет браузеру. Этот код может украсть ключи при использовании приложения — такой риск описан в модели безопасности Proton. Надёжному шифрованию также нужны защищённые устройства и доверенное ПО. Файлы, которые остаются только на устройстве, не раскрываются при взломе сервиса, куда их никогда не загружали.
Выбирайте, что останется на устройстве
Вы не можете предотвратить каждую программную ошибку, но можете выбрать место хранения личных файлов. Sealby шифрует содержимое сейфов на вашем устройстве. Если вы не хотите загружать содержимое, оставьте сейф только локальным: зашифрованная синхронизация iCloud необязательна и включается в настройках отдельно для каждого сейфа. При включённой синхронизации или создании зашифрованной резервной копии копии могут храниться вне устройства. Их защита по-прежнему зависит от сохранности данных для разблокировки и фразы восстановления. Шифрование не защищает уже открытый сейф от человека, контролирующего устройство, и не удаляет оригиналы, оставленные в других приложениях или облачных сервисах.