ACTUALIZACION Mentira que todo el mundo pudo parchear cuando PHP 5.4, 5.6, 7.4 sigue gobernando el mundo, entonces para mitigar minimamente esto comparto algunas sugerencias para evitar PHP2Shell | CVE-2026-109618 y CVE-2026-109619. Este post es estrictamente técnico. 1. php.ini Hay que tocar estos valores, pero ojo depende de cada caso. Lo principal, sin lugar a dudas: session.upload_progress.enabled = Off A continuación ojo, si tenes un solo sitio en un servidor, no deberias tener mucho problema por mas que no esté bien, es decir quedan los procesos sin limite de memoria. memory_limit = -1 Ahora si estas en un hosting compartido, puede ser un arma de doble filo. Cada uno sabra. post_max_size = 32M upload_max_filesize = 16M Podes bajarlo a 16 tambien, pero vas a tener limitaciones en la subida de archivos obviamente. Estas configuraciones pueden contribuir a reducir determinados riesgos, pero no corrigen las vulnerabilidades en su totalidad, aunque las PoC que están dando vueltas dejan lugar a dudas. 2. WAF y Proxy Reverso. El WAF se hizo para usarse, no es la cura de todos los males, pero siempre es mejor tenerlo que no tenerlo. Actualizado y configurado para bloquear solicitudes maliciosas. Pueden usar ModSecurity con reglas Comodo, verificando que las solicitudes PHP efectivamente atraviesen el WAF y no existan rutas alternativas que permitan evitarlo. Incluso la suma de un Apache con usando como proxy reverso NGINX. En NGINX tambien pueden proteger mas cosas como # Evitar ejecutar PHP desde directorios de archivos subidos location ~* ^/(uploads|files|media|oloquesea)/.*\.php(?:/|$) { return 403; } # Proteger archivos internos location ~ /\.(?!well-known(?:/|$)) { deny all; } # Limitar el tamaño de las solicitudes client_max_body_size 10m; 3. Cloudflare Free y protección del servidor de origen Cloudflare acaba de poner protecciones contra estas vulnerabilidades, disponibles y activadas por defecto también en su plan gratuito. Sin embargo, utilizar Cloudflare no alcanza si el servidor de origen sigue aceptando conexiones directas desde Internet. RECUERDEN QUE CLOUDFLARE si no esta bien configurado o con un escaneo de las ramas de DNS puede "bypasearse". Por eso, es especialmente importante configurar el firewall del servidor para permitir conexiones HTTP/HTTPS únicamente desde los rangos oficiales IPv4 e IPv6 de Cloudflare, contemplando las excepciones necesarias para otros servicios y accesos legítimos. También es recomendable implementar Authenticated Origin Pulls cuando la arquitectura lo permita. 4. Monitoreo permanente Complementar las medidas con monitoreo de procesos, revisión de logs, detección de malware, análisis de solicitudes sospechosas y verificación del funcionamiento de las aplicaciones. Que un sitio responda HTTP 200 no garantiza que todos sus componentes funcionen correctamente. Aplica a plugins y subidas de archivos especialmente en Wordpress, Moodle, Drupal, Laravel, Symphony y la lista es larga que ya todos conocemos, ni hablar de lo legacy sin documentación. 5. Si tenes la suerte $$$ de usar Plesk en servidores compartidos o propios. TuxCare Extended Lifecycle Support for PHP, que requiere una licencia específica por USD 10 mensuales y te permite usar las compilaciones PHP correspondientes. Si no podes cambiar el codigo fuente migrar a Plesk puede con Cloudflare puede ser una buena opcion para versiones de PHP viejas. También más complejo podes dockerizar y meterle una capa más de protección adicional para los requests. 6. Servidores Debian / Ubuntu con el repo de Surý Ondřej Surý se puso la 10 y sacó los parches para 5.6 como para 7.4. En el log aparece: "Backported from 8.2.35". Conclusión Estas medidas son mitigaciones temporales y no eliminan el 100 % de los riesgos, ni garantizan protección frente a futuras vulnerabilidades. La solución de fondo sigue siendo utilizar versiones de PHP efectivamente parcheadas y con soporte, actualizar las aplicaciones y retirar progresivamente las tecnologías obsoletas. Mitigar no es parchear. Pero esto es Argentina y nosotros somos gordos sysadmin que nadie nos ve intentar apagar estos incendios. POSDATA> Mas de uno vuelva a la universidad y apreda que sistemas !== infra , digamos, o sea, parchear con las versiones de PHP que salió hoy lleva literalmente cinco minutos. El problema es que casi nadie esta en esas ramas y los sistemas estan en versiones viejas. Infra puede parchear lo que quieras, porque algun CISO diga parchea, pero SISTEMAS no tiene como reescribir codigo viejo ni en cinco minutos ni en un dia. La IA tampoco, excepto minimas excepciones. POSDATA 2> Esto es para el quilombo de PHP, todavia ni analicé lo de Node.js ni lo de los TLS ni lo que pueda surgir mañana. Ni hablemos del CVE del Kernel de Linux de la semana pasada que fue bastante doloroso.

banger tshirt idea

pixuleco eleitoral

🚨 ATENÇÃO: André Mendonça não desistiu de levar à votação regra que pode DERRUBAR O CANAL DO JANONES Apurei nos bastidores do TSE que o ministro se desentendeu com Kassio Nunes e não quer segurar o rojão sozinho. Ambos estavam alinhados na ideia, mas Kassio recuou da proposta depois que revelamos a trama hoje, com exclusividade, no O3NEWS. Corre a informação de que Mendonça está pressionando para votar a normativa amanhã pela manhã e dar um ar de debate colegiado. Estamos de olho. Acompanhem nosso canal pra saber de tudo antes. piped.video/@otresnews

Security called me at 6:12 AM today. "Patch every PHP server immediately." I asked what happened. "Two critical vulnerabilities. Remote code execution. No authentication required." Cool. How many PHP servers do we have? According to inventory: 12 According to reality: Nobody knows. We found one running WordPress. Three running old internal tools. One under someone's desk. Two inside vendor appliances. A forgotten employee directory from 2016. And a server named: PHP-OLD-DO-NOT-TOUCH Naturally, that one runs payroll exports. Then we found a PHP 5.6 box. I asked who owned it. The documentation said: BRIAN. Brian left in 2019. We called Brian. He said: "Oh wow, that's still running?" Excellent. By 8 AM, leadership joined the incident call. CEO: "Can hackers actually get in?" Security: "Potentially yes." CEO: "Without a password?" Security: "Yes." CEO: "Then why do WE need passwords?" Not the lesson. Finance asked if we could wait until the weekend to patch because downtime affects revenue. Security explained that the alternative was letting strangers execute code on our servers. Finance asked for a cost comparison. At 9:17, someone suggested temporarily taking the vulnerable websites offline. Marketing refused. "Our campaign is live." So for the next hour, the company officially decided maintaining a landing page for 20% off webinar registration was more important than preventing remote server takeover. We finally patched everything we could find. Then our scanner discovered another PHP server. Hostname: TEMP-PHP-2014 Uptime: 4,512 days. Nobody knows what it does. Nobody owns it. Nobody can shut it down. But every time we block network access, the warehouse stops printing shipping labels. Security has classified it as critical infrastructure. It is running PHP 5.4. The vulnerability has existed longer than half our employees. The emergency patch took four hours. Finding out what PHP actually runs took eleven. The internet isn't held together with code. It's held together with servers everyone is afraid to turn off.

Outra falha técnica?

php2shell is the most consequential vulnerability I have ever helped discover. I am proud of how our team worked closely in coordination with the PHP Foundation to provide support and to harden the patch in preparation for this release.

Please read more about our approach:

🚨 Europas Behörden gehen offline. Das wird sehr sehr sehr übel enden. Zwei kritische Lücken in PHP. Codeausführung aus der Ferne, ohne Anmeldung oder Nutzerinteraktion. Betroffen sind laut BSI potenziell alle Versionen ab PHP 5, also zwanzig Jahre Code. Das BSI stuft die Lage als kritisch. Betroffen sind u.A.: → Bundespolizei, Bundesinnenministerium, Zoll → Robert-Koch-Institut → Charité Berlin, Klinikum Nürnberg → Berliner Feuerwehr, Berliner Tafel → Universität Potsdam, weitere Universitäten → Hessische Landesregierung, Thüringer Landesverwaltung samt Landespolizei → Bayerische Behörden, Landratsamt Rhön-Grabfeld, Landkreis Dahme-Spreewald → Städte Dresden, Mainz, München und weitere Kommunen Und am selben Tag patchten Node.js zehn Lücken, vier davon kritisch, sowie Go. Jetzt der Teil, über den kaum jemand redet. Die Lücken lagen über ein Jahrzehnt unentdeckt im Code. Gefunden wurden sie von OpenAIs GPT-5.6 Sol (!!!). Wiz nennt sie die schwerwiegendsten Lücken, die je mit dieser Technologie gefunden wurden. BRISANT IST: Das Weiße Haus wusste seit Freitag, dem 16. Oktober, Bescheid. OpenAI koordinierte die Offenlegung mit CISA und dem Office of the National Cyber Director. Fünf Tage, in denen eine Regierung wusste, dass drei Viertel des Internets offenstehen, und die anderen nicht. Am Ende ging die Sache durch ein Leak vorzeitig raus, deshalb JETZT der Notfallmodus. Genau hier zeigt sich, was es praktisch bedeutet, keine eigenen Modelle zu haben - Wovor ich nun seit Jahren warne! Diesmal ging es noch gut aus. Doch jeder der sich in Europa jetzt nicht auf sehr düstere Zeiten vorbereitet, bewegt sich auf Glatteis.

Seria interessante ver de novo a queda da Bastilha sem deixar o poder mudar de mãos depois e terminar a história do passado direito desta vez

Contra todo pronóstico y sin aviso previo, Ondřej Surý ha aplicado los parches CVE-2026-109618 y CVE-2026-109619 tanto para PHP 5.6 como para PHP 7.4. En el log aparece: "Backported from 8.2.35". Nos ha salvado el culo a los que tenemos servidores Debian/Ubuntu.

Não assuma que você está seguro se usa PHP ou Wordpress

Flávio escreveu um romance em vez de uma lista de exigência. Lula topou mesmo assim. Flávio vai arregar para não facilitar para a polícia que já está na sua cola, mas vai mentir que topa qdo não der mais tempo. Lula passaria os próximos 4 anos cumprindo a lista de exigências. FIM

Não consigo aceitar a ideia que não se possa revogar o político que o voto colocou lá e fez diferente do acordado. Depois de empossado pode fazer o que quiser e foda-se. Por isso só somos lembrados em eleições. Político tem que ser delegado e só fica se reaprovado pelo povo.

PRIMEIRA MÃO: O senador Flávio Bolsonaro, candidato à Presidência, tem mais de 200 decretos prontos para serem assinados caso ele seja eleito, sendo que a maioria trata de alterações nas leis trabalhistas, inclusive dispositivos sobre a emenda constitucional que acabou com a escala 6X1. Saiba mais na reportagem abaixo:

Se eu falasse vocês não iam acreditar 🤣🤣🤣 Fui comprar um chocolate numa loja do shopping esses dias e tinha custado uns R$5. Quando fui pagar, percebi que eu tinha dinheiro vivo na carteira! Exatamente uma nota de R$5! Mas era uma nota que eu tinha achado na rua na semana passada no meio de uma chuva. A nota tava quase dentro de um bueiro. (Mas eu que não ia deixar R$5 irem pro esgoto né?) Falei pra pessoa da loja “me desculpa, olha como tá”. Eu não creditei no que aconteceu em seguida… Ela disse “não tem problema! A gente consegue limpar aqui mesmo”. Eu NUNCA tinha visto isso na minha vida. Nem sabia que existia! Procurem “lavar dinheiro em loja de chocolate” no Google. É a coisa mais surreal que eu já vi!!!

Que fase! Depois de perder alguns gols, agora perde a casa.

Flávio pediu para TSE proibir tópicos de assuntos mais comentados nas redes, quer intervenção nos algoritmos de busca e redes. Chama a atenção q não tem o menor pudor em usar do poder para alcançar seus objetivos. Para mim está muito claro q se vencer, não existirá mais oposição.

Esse tuíte aqui é o sujo falando sobre o mal lavado. PHP e Wordpress NUNCA lançaram uma versão livre de CVEs graves. Repito, eu disse NUNCA!

- O VASCO ACHOU QUE IA FAZER O FLAMENGO DE BOBO - GOL DO LOLLO - PRA JOGAR NO MARACANÃ O VASCO FEZ UM ESCARCEL - GOL DO MERENTIEL - GANHARAM NA JUSTIÇA E FORAM PRAS REDES - GOL DO PAREDES 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣 😂 🤣

Simplesmente não entra na minha cabeça o Flávio ter tido um desempenho melhor do que o Jair, ainda mais sendo quem é e cheio de B.O.s. Lembro de ver bolsonaristas ferverosos nas redes sociais simplesmente se tocarem durante o governo do Jair e abandonar essa canoa furada.