IA • Python • Seguridad • Laravel • Linux • VPS • WordPress • WPO
Matrix
Joined February 2008
- Tweets448
- Following291
- Followers162
- Likes766
Eldel Server retweeted
Un 502 o un 504 no es un diagnóstico
Puede estar en PHP-FPM, la base de datos, un plugin, el proxy o los recursos del servidor.
→ Guarda hora y petición
→ Revisa registros antes de cambiar límites
wpseguridad.com/blog/errores…
Eldel Server retweeted
¿A quién no le va gustar un PC Fútbol original de Dinamic Multimedia? ¿A quien no le va a gustar?github.com/nuvolacat/pcfsite…
Muy buenos consejos
El formulario de subir archivos es la puerta más fácil de convertir en RCE. Y casi nadie lo valida bien.
Checklist para que tu upload no te cueste el servidor:
1. No confíes en la extensión ni en el Content-Type. El navegador los manda y el atacante también. Valida el tipo real leyendo los magic bytes del archivo.
2. Renombra el archivo tú mismo. Genera un nombre aleatorio y guarda el original aparte. Nunca uses el nombre que vino del cliente para escribir en disco.
3. Guarda los archivos fuera del webroot o en un bucket, y sírvelos por un endpoint controlado. Si el usuario puede adivinar la URL y pedir el archivo directo, perdiste.
4. Pon límites de tamaño y cantidad. Un upload sin tope es un DoS de disco esperando que alguien lo descubra.
5. Usa lista blanca de lo que aceptas (jpg, png, pdf) en vez de intentar bloquear lo peligroso. La negra siempre deja algo fuera.
6. Para imágenes, reprocesa. Pasa todo por una librería que reescriba el archivo. Mata el payload escondido en los metadatos.
7. Desactiva la ejecución en la carpeta de uploads. En nginx, un location que solo entregue estático. Cinturón y tirantes.
La regla de fondo: todo archivo que sube un usuario es hostil hasta que demuestres lo contrario.
Eldel Server retweeted
Damián tiene razón: hoy un VPS barato más una IA te reemplaza Railway. Yo tengo mis cosas self-hosted y así lo armaría, paso a paso:
1. Sacá el VPS (Hetzner, DigitalOcean o Vultr) con Ubuntu LTS y entrá con llave SSH, nunca con contraseña.
2. Antes de pedirle nada a la IA, creá un usuario sin root con sudo. Que la IA trabaje con ese usuario, no con root.
3. Primer pedido: "cerrá todo menos 22, 80 y 443, desactivá el login por contraseña e instalá fail2ban". Seguridad primero, proyecto después.
4. Segundo pedido: "levantame el proyecto en Docker Compose, con Caddy adelante para el HTTPS automático". Que todo quede en un repo: si mañana se rompe, lo volvés a levantar en minutos.
5. Backups diarios fuera del servidor. Un VPS sin backup es una apuesta, no un deploy.
6. Pedile que te explique cada comando antes de correrlo. Si no lo entendés, no lo corras.
La IA te ahorra horas. El criterio sigue siendo tuyo. 🧉
Loco, ya están grandes para seguir usando esas plataformas como Railway para deployar su web, ahora que tienen AIs que hacen absolutamente todo saquen un VPS (DigitalOcean, Hetzner, Vultr) donde quieran, le pasan la IP del VPS a su AI y le dicen configurame todo y levantame este proyecto ahi.
Listo, se ahorraron mucha plata por mes, dolores de cabeza con filtraciones y caidas.
Eldel Server retweeted
Ayer fue el apocalipsis zombiePHP. Todos tenemos claro que usar versiones antiguas de PHP es un error, pero a veces toca administrar un entorno con un PHP viejo, que con toda diligencia parcheaste ayer (gracias a sury/ondrej).
El tema es que hoy están llegando avisos automáticos (NCSC, Netcraft y otros escáneres) que marcan como vulnerables a PHP2Shell (CVE-2026-109618 y CVE-2026-109619) webs cuyos servidores ya están parcheados.
Y unas veces te llegan a tí y otras a los clientes, que empiezan a preguntarte "¿pero esto no estaba ya parcheado?".
🔎 Qué está pasando
Los escáneres solo leen el número de versión que anuncia el servidor. Cualquier versión anterior a 8.2.35, 8.3.36, 8.4.27 o 8.5.12 la marcan como vulnerable.
Las ramas sin soporte (7.4, 8.0 y 8.1) no tienen versión nueva. PHP publicó los parches de código, y quien los aplica (Plesk, distribuciones, proveedores cloud) mantiene el mismo número de versión.
Caso real: un servidor nuestro con PHP 8.1.34 compilado por Plesk el 21 de octubre. Parcheado, pero anuncia “8.1.34”, así que el escáner lo marca. Mismo número, distinto binario.
✅ Cómo comprobar el tuyo
No mires la versión, mira la fecha de compilación:
php -i | grep “Build Date”
Y contrástala con el aviso de tu proveedor. En Plesk, las versiones 7.4.33, 8.0.30 y 8.1.34 compiladas el 21 de octubre de 2026 o después ya incluyen la corrección.
Bonus
Con expose_php = Off PHP deja de anunciar su versión en las cabeceras. No arregla nada, pero te ahorra sustos con los escaneos masivos.
⚠️ Y no te relajes
Si te llega un aviso, verifícalo siempre. Un falso positivo no es lo mismo que estar a salvo sin comprobarlo.
Que hayas sobrevivido a este apocalipsis no significa que sobrevivas al siguiente. Esa migración a PHP 8.2 o superior sigue pendiente. 🧟♂️
Eldel Server retweeted
Como todo el mundo estaba haciendo sus propios survivors y yo soy token rich, no podía ser menos
DOOM x VAMPIRE SURVIVORS
Rip & Tear until the timer stops
doom.gimeno.dev/
Upcoming: progresión permanente, mapas, unlocks, modos alternativos y challenges 🫡
Plesk tiene parches para versiones antiguas (build 21 oct).
Mientras no sea posible instalar las actualizaciones de PHP, estas son las configuraciones recomendadas para mitigar el impacto de los CVE. Más información en php.net/archive/2026.php#202…
Eldel Server retweeted
Contra todo pronóstico y sin aviso previo, Ondřej Surý ha aplicado los parches CVE-2026-109618 y CVE-2026-109619 tanto para PHP 5.6 como para PHP 7.4. En el log aparece: "Backported from 8.2.35". Nos ha salvado el culo a los que tenemos servidores Debian/Ubuntu.
Quiero dormir
Leaving this here, PHP 8.5.12 security patch is incomplete. ( needs further validation )
Readers added context they thought people might want to know
The PHP 8.5.12 release fixes the two specific CVEs (via state/bailout changes) detailed in official advisories; referenced "surviving paths" (e.g. var_destroy UAF) are separate pre-existing unserialize issues unrelated to this patch.
php.net/archive/2026.p…
github.com/php/php-src/se…
github.com/php/php-src/se…
github.com/dinosn/php-8.5…
Eldel Server retweeted
Patch d'urgence pour des anciennes versions de PHP (à compiler vous même) :
PHP 7.4 : github.com/php/php-src/tree/…
PHP 8.0 : github.com/php/php-src/tree/…
PHP 8.1 : github.com/php/php-src/tree/…
La mise à jour sur un PHP supporté est vivement recommandée ++++
Les PHP sont dispo dans les dernières versions corrigeant le souci : PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35
L'ami remi pour PHP sur les bases RHEL est déjà patché !
Exemple avec PHP 8.3 : rpms.remirepo.net/enterprise…
Eldel Server retweeted
¡DISPONIBLES LOS PARCHES DE SEGURIDAD DE PHP!
PHP ha publicado las actualizaciones urgentes para solucionar las dos vulnerabilidades críticas que permiten ejecutar código remoto SIN autenticación.
Estas son las versiones que debes instalar:
8.2.35, 8.3.36, 8.4.27 y 8.5.12
Son dos vulnerabilidades:
→ CVE-2026-109618: Un fallo en la gestión de memoria puede corromper datos internos y permitir ejecutar código malicioso.
→ CVE-2026-109619: PHP puede reutilizar memoria ya liberada, permitiendo que un atacante aproveche ese estado para ejecutar código.
¿A quién le afecta esto?
A servidores que utilizan PHP-FPM, Apache con mod_php, LiteSpeed, php-cgi...
Ya se ha demostrado un ataque contra Apache con mod_php que funciona SIN autenticación y ANTES de ejecutar el código de tu aplicación. Vamos, un locurón.
¿Y si uso una versión antigua?
PHP 8.1 y anteriores ya no tienen soporte oficial, pero por la gravedad del problema han publicado parches EXCEPCIONALES para PHP 7.4, 8.0 y 8.1.
También hay proveedores de Linux que distribuirán sus propios parches. Ojito.
IMPORTANTE: PHP advierte que las mitigaciones temporales NO solucionan completamente el problema, así que cuidado con confiar en cambiar cualqueir cosita de la config y olvidarte.
La única solución completa es ACTUALIZAR.
Toda la información oficial:
php.net/archive/2026.php#202…
ALT El logotipo blanco de PHP aparece centrado sobre un fondo azul oscuro, con fragmentos de código apenas visibles. A la derecha, un triángulo rojo brillante con un signo de exclamación
Eldel Server retweeted
Fa una setmana vaig publicar uns vídeos de #PlatsBruts amb IA que van córrer força per X i TikTok.
Uns quants em vau preguntar com els havia fet, així que he recollit el material i he escrit una guia en català perquè ho pugueu provar 👇
