DevOps desde 1998. Developer desde 2018. Dedicado a mis clientes desde siempre. Mis opiniones son mías y si no te gustan, adiós. 🕋🇵🇸
Zamora
Joined April 2024
- Tweets1.6K
- Following159
- Followers31
- Likes3.9K
La lista de regresiones y problemas de PHP esta siendo de traca.
Años avisando de que un día la hostia seria espectacular y aqui estamos.
Y los que se rien de PHP, los adláteres de JS y otros, ya verán que ellos ya llevan tiempo siendo causa de defaces en la red, pero aumentan
“Si, pero es que antes hasta un script kiddie tenía algo de conocimiento para hacer cosas. Ahora estamos apunto de entrar en un momento donde -casi- cualquier fulano con un poco de mala baba va a tener un experto en muchas cosas a mano y sin ningún tipo de pudor ni moral.” 👏🏼👏🏼👏🏼
Disponibilizar modelos sin censura para empresas bajo un acuerdo y dejando la responsabilidad legal clara es posible. Lo hacemos.
Disponibilizarlos para el público general es muy complejo. Ya que por mucho que explícitamente delegues la responsabilidad al usuario y le obligues a aceptar ciertos términos y condiciones. Al menos en EU, la plataforma es responsable también de lo que ocurra en su sistema.
Sé que la mayoría, espero, sois personas con dos dedos de frente y entendéis todas las cosas buenas que pueden aportar este tipo de modelos en especial en temas de ciberseguridad y en algunos campos de investigación.
Sin embargo, el problema está en quien ya sea por desconocimiento de la legislación o por curiosidad mal encausada o por simple maldad podrían hacer con modelos sin censura. No creo ni que haga falta poner ejemplos.
Es un tema interesante pero también bastante peliagudo para entrar en debate incluso.
Ya que mientras más mejoren los modelos abiertos y estos además sean más pequeños y eficientes de correr. Más fácil será tener acceso a estos modelos. Es una bomba que tiene puesta la cuenta atrás.
Toda esta oleada de vulnerabilidades, herramientas decompiladas, suplantaciones de identidad, falsificaciones…. son solo la punta del iceberg.
- pero Cristian, esto ya existía antes de la IA.
Si, pero es que antes hasta un script kiddie tenía algo de conocimiento para hacer cosas. Ahora estamos apunto de entrar en un momento donde -casi- cualquier fulano con un poco de mala baba va a tener un experto en muchas cosas a mano y sin ningún tipo de pudor ni moral.
Vivo muy pegado a diferentes empresas de ciberseguridad de diferentes ámbitos y cada conversación que tengo con ellos me hace querer ponerme el gorrito de aluminio y desenchufarme de la red.
Obviamente no es realista esto pero hay que ver la forma de fortalecer en general cualquier parte no solo de nuestras aplicaciones sino de toda la cadena. Empezando por las mismas personas.
Y no hablo ya solo a nivel empresarial con trabajadores sino incluso personal con familia y amigos.
Tiempos convulsos nos esperan.
Señores programadores que usan docker en producción. Los dockers, también tienen vulnerabilidades y si exponen cosas que lo tengan vulnerabilidad, pues eso... no los olviden.
El Kit digital es otro de esas construcciones para que algunos hagan dinero otros se queden con dinero y muchos pierdan su dinero y su tiempo. Siempre he odiado las subvenciones. Si estuvieran bien planteadas y vigiladas vale. Pero en realidad es un negocio de muchos.
El BOE del Kit Digital (@Redpuntoes) exigía 12 meses de hosting, SEO básico y 0 menciones a "seguridad".
Hoy con #PHP2Shell hay ~115.500 webs sin parche cuyo consejo oficial es apagarlas @INCIBE 💀
yeswelab.com/experimentos/ph…
Con el lio de #PHP2Shell estoy filando con #gentleshell
Esto lo intento Claude, y lo desactive, porque el lio era tremendo. La limpieza con la que se comunica Gentle en pi es perfecta para el operador humano y agéntico.
Es nivel .... @G_Programming tu equipo es la caña
Uno de los mayores referentes en PHP, lo deja bien claro. Días y noches como l el que hemos pasado ayer, van a ser el pan nuestro de cada día. Antes lo llamábamos #scriptkiddies ahora son #aikiddies y son una plaga
An unprecedented day in my history with PHP.
Some bumps along the way, but really proud of the @laravel team for working through the night ensuring all of our products and customers had patches available to them and, when possible, applied automatically.
Given the advancement of agents, it's quite possible this won't be the last time this happens, and it's likely PHP won't be the only language that goes through this. We built some solid muscle today to do even better next time.
Onward. 🫡
castris.com retweeted
Contra todo pronóstico y sin aviso previo, Ondřej Surý ha aplicado los parches CVE-2026-109618 y CVE-2026-109619 tanto para PHP 5.6 como para PHP 7.4. En el log aparece: "Backported from 8.2.35". Nos ha salvado el culo a los que tenemos servidores Debian/Ubuntu.
Un hilo de gente que no tiene ni idea simplemente paga una cuota y la consumen seguramente con toda velocidad por qué tampoco saben usar esas herramientas. DeepSeek, qween, mimo, hay tantos k si saben hacer tantas cosas mejor que Claude y que Gepeto o Gemini y por menos.
unavailable
Dado que han comenzado a preguntarme si en Castris llevamos desde esta mañana, inventariando y actualizando con parche propio pH P, a la espera de que a las 16 horas más o menos se lance el parche oficial. Actualizamos todos los servicios incluidos aquellos que no tienen managed
El problema de aquí es más gracioso de lo que parece. Todavía hay en Internet mogollón de sitios que tienen PHP 56 php 7.X. Cosas que tienen los desarrolladores que venden software, y no venden nunca mantenimiento ni nada. Humo lo que venden.
Pues PHP no sacará parches < 8.1
❗️ php2shell is a very serious vulnerability affecting MOST OF THE WEB.
Our GLM 5.3 Abliterated was able to reproduce the exact vulnerability in 30 minutes.
While waiting the official PHP fix, we recommend to turn off session.upload_progress.enabled in the php.ini settings. Should help mitigate some of the dangers although not all.
Hoy, #GentleShell, y la inferencia de Nan con #GML53 me ha salvado literalemente el ... en proyecto que llevaba con #Claude y se comio, la parte mas importante de la demo de mañana.
El chat interactivo para atención personalizada de funeraria.
1:30 minutos ... hecho y bien
Bueno, ya es hora de poner a tope a trabajar el sistema que mas nos guste para tareas agénticas. No es sólo Wordpress, ahora llevamos un tiempo que Laravel, paquetes del ecosistema JS, otros frameworks, esta siendo profundamente golpeados pro el crackactivismo.
Barridos, diarios
hoy por un ticket de acusación de que estamos en una lista de spam, al analizar veo que llevo 3 años, sin que ninguno de mis servidores este en una lista de spam.
Con la aparición de la la IA agéntica, mod security y el análisis de logs, se hizo trivial = un stack seguro
Que brutalidad. Esta mañana entre DeepSeek V4-Flash (4.1-1017) que trabaja en infra más rápido y mejor que GLM5.3, con #NaNBuilders he flipado
Tickets de infra en distintas áreas, mod_security, programación, documentación. 30 proyectos
Orquestado con #GentleShell @G_Programming
Probando el DeepSeek V4-Flash (4.1-1017 version) via @helmcode #NaNBuilders y ya pensaba que era cosa mía, con los modelos chinos.
Es que todos los chinos (Mimo, DeepSeek,.., versión Flash se flipan cuando el contexto empieza ser largo.
Tengo claro, que la IA, lejos de ayudar a las personas con deficit profesional, lo único que hace es hacerlas mas creídas y peores profesionales.
Sin criterio, sin conocimiento y sin lógica, un humano es víctima de la IA y con el todos sus clientes.
Es terrible, que un momento de influmerders que se dedican a dar la brasa como experto en IA esten promocionando software que tiene ngraves dfciciencias de seguridad y privacidad.
Y cuesta 1 hora y unos cuantos tokens hacer una análisis.
Pero ellos al clickbait fácil
