La semana PHP

Pues ya tenemos el primer episodio del podcast publicado en Spotify. Próximamente (cuando lo apruben 🤷‍♂️) en las principales redes de podcast open.spotify.com/show/6kGAQj… #PHP #WordPress #Laravel #symfony #Drupal #Telegram #podcast #Spotify

Si administras servidores PHP y todavía no has actualizado a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, hazlo hoy. PHP2Shell permite ejecutar código sin autenticarse y ya se explota en masa. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Screenshot, para PHP y Laravel: renderiza HTML, vistas Blade o páginas web a PNG, JPEG o PDF con Chrome y lo guarda en el disco que elijas. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

PHP 8.6.0 RC4 ya está disponible. La versión final sigue prevista para noviembre; si mantienes alguna extensión, es el momento de probarla. #PHP Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

El aviso oficial de la comunidad WordPress en español sobre PHP2Shell: qué revisar en tu instalación y cómo comprobar la versión de PHP que ejecuta tu servidor. #WordPress Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Si tu web está alojada en el hosting de Automattic, ya estaba protegida contra PHP2Shell antes de que el parche fuera público, sin que tuvieras que hacer nada. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Un detalle de la semana de PHP2Shell: Daniel Scherzer empujó los commits del parche a las 6:30 de la mañana con cuatro horas de sueño. La PHP Foundation vive de donaciones; esto es lo que pagan. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Ya parcheaste PHP2Shell, pero ¿te habían entrado antes? Un script de triaje de solo lectura que revisa logs y rastros habituales de explotación sin tocar nada en el servidor. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Symfony 8.2 trae transportes firmados y rotación de secretos en Messenger: un mensaje inyectado en la cola ya no puede disparar handlers sensibles, y los secretos se rotan sin parar nada. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

PHP publica paquetes nuevos para Windows (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1) con Brotli 1.2.1 por HTTP2Shell: en Windows se alcanza vía cURL con la descompresión automática. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

El embargo de PHP2Shell se rompió antes de hora. Volker Dusch explica en Laravel News cómo se gestionó por dentro, por qué se filtró y qué harían distinto. Merece los diez minutos. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Brecha en TeamUpdraft: usaron claves de UpdraftCentral para colar puertas traseras en sitios WordPress. Si usas UpdraftCentral, UpdraftVault o UpdraftClone, regenera las claves y revisa tus sitios. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Si usas Debian o Ubuntu con los repositorios de Ondřej Surý, hay paquetes corregidos para PHP2Shell también en las ramas sin soporte (8.1, 8.0, 7.4…). Mira el changelog, no php -v. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Cloudflare desplegó reglas de WAF contra PHP2Shell antes del anuncio público, activadas por defecto y basadas en señales de la petición y de la respuesta. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Lo que más me ha llamado la atención de PHP2Shell no es el fallo, sino lo de alrededor: exploits cuatro días antes del anuncio, WAF antes del parche y Mirai a las 48 horas. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

WooCommerce 11.3 retira su endpoint MCP propio: hay que migrar clientes y extensiones al WordPress MCP Adapter. Si desarrollas para Woo, lectura obligada esta semana. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Amazon detectó intentos de explotar PHP2Shell en sus honeypots el 17 de octubre, cuatro días antes de que se hiciera público. Las vulnerabilidades circulaban antes del anuncio. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Réplicas de lectura en Laravel sin enseñar datos viejos: el middleware PreventStaleDatabaseReads mantiene al usuario en la base principal justo después de guardar. Muy poco código. #Laravel Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

La PHP Foundation explica qué va a cambiar en seguridad después de PHP2Shell: lecciones del incidente y medidas para que el proceso aguante mejor la próxima vez. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

A las 48 horas del parche de PHP2Shell ya había millones de intentos de explotación para colar una variante de Mirai. De momento sin éxito, pero la ventana entre parche y ataque masivo se mide en horas. Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).

Symfony AI publica su 1.0.0-BETA1, la primera prerelease camino de la 1.0, y abre un hackathon de cuatro semanas para construir agentes y servidores MCP con Symfony. #Symfony Más en La semana PHP, la newsletter semanal de PHP (enlace en la bio).