PHP2Shell - CVE

1. existují DIY fixy
2. Ondra Surý už myslím vypustil patchnutý PHP7.4

Za mě:
1. NÚKIB:
https://portal.nukib.gov.cz/informacni-servis/aktualne/6ad8e555150279a8f60e1df8
"Aktualizace PHP je jediným úplným řešením. Níže uvedená opatření podle bezpečnostního upozornění snižují míru vystavení konkrétním vektorům útoku, ale sama o sobě nezaručí bezpečnost serveru. ..."
Ještě dodám, že NÚKIB uvádí jen podporované verze PHP 8.2 až PHP 8.5
2. Ondra Surý:
https://sury.org/
https://deb.sury.org/
sice vypustil patchnuté PHP od verze 5.6, ale používat nepodporovanou verzi PHP na nepodporované verzi distribuce Linuxu (např. Debian 11) mi vůbec nepřijde jako ideální řešení. A ideální mi nepřijde ani to, když se používá nepodporovaná verze PHP na podporované verzi distribuce Linuxu.

svět není ideální a některé aplikace není šance přepsat aby podporovaly "zrovna aktuální" verzi PHP.

edit: nehledě na to, že aktualizace větších aplikací je otázka třeba i několika měsíců, tady na to byly řádově dny.

"není šance" ve smyslu "nechce se"?
Tedy to, co platilo a platí pro warforum?
A platilo to i pro poradnu, naštěstí v poslední době je určitá snaha k lepšímu, třeba to fleg časem zvládne i na aktuální verze softwaru, když si hraje s AI...
Osmičková verze PHP vyšla před 6. lety... Když někdo používá nějakou aplikaci, tak by se měla průběžně udržovat a aktualizovat, ne že někdo bude vidět po 6., 15., 20. letech problém v "není šance" a "několik měsíců" i u relativně malé aplikace...

Třeba to nedává finanční smysl. Nebo nejsou dostupné jiné zdroje. A ano, Poradna může sloužit jako další příklad, je to v podstatě komunitní projekt, který stojí na pár lidech, kteří taky nežijí ze vzduchu a mají své povinnosti, rodiny, atd.

Idea průběžného updatování je jistě moc krásná, ale v praxi naráží na výše zmíněné. Já třeba kdysi miloval Gentoo (a dodnes ho pokládám za nejlepší a nejsvobodnější distribuci vůbec), jen jaksi jeho údržba je asi tak 20x časově náročnější než u Debianu. A jak člověk stárne, kupí se i další úkoly a problémy, které musíš řešit a logicky z toho plánu "to do" začnou vypadávat (respektive se ti tam už nevlezou) méně důležité věci, třeba jako hraní si s updatováním všech svých projektů. To není samozřejmě omluva, ale střízlivý pohled na problém.

Darmo mu to budes vysvetlovat....on nechape, co sposobuje pravidelne aktualizovanie...castokrat zhrutenie casti alebo dokonca celeho systemu, a preto treba byt pri nasadozvani updatov viac ako opatrny.
Naco mi je update, ktory mi zaplata nejaku dieru, ked otvori dalsiu, priapdne sposobuje nestabilitu servera a pod.

Poznamka...Poradna stale bezi na starom php a doteraz som zaznamenal len 2 utoky v den kedy vysla sprava o php2shell a neboli na nej ziadne, ani castocne upravy php.
Oba boli neuspesne, odpoved 500 a utocnikom sa nepodarilo nic zhodit ani spustit.
Uz 3 dni mi tam bezi sledovaci skript, co sleduje spustane skripy, zapisy, crontaby, shell prihlasenia, podozrive poziadavky na apacha, pady apacha....atd...a hadaj co...a nic....ani pokus.

Chápu to tak, že aktualizace serveru není tvá silná stránka, a z aktualizací serveru jsi doslova po...

Tu máš uvedeno jak přistupují k aktualizacím na váš hosting:
https://www.vas-hosting.cz/blog-kriticke-chyby-v-php-co-delame-a-co-se-tyka-vas
I web na freewebhostingu na Endroře mi jede na podporovaném softwaru, dokoce komunikace je jak asymetricky tak i symetricky kvantově odolná, středeční aktualizace PHP byla nahozena chvíli po tom, co vyšla...

Jak někdo, kdo píše co píšeš, se může starat nejen o poradnu, ale i o hosting...

Takže čtu správně mezi řádky, že se nabízíš, že se budeš starat o hosting Poradny? Aktualizace atd....?