Gaan jullie nog updaten?

[Vhond]

Waarschijnlijk hebben jullie al wel gezien (via diverse media) dat er een aantal ernstige lekken in PHP zitten?

Succes met updaten.

[mmuetst]

De site was tijdelijk uit de lucht, misschien zijn ze al gepatched?

[J.A.F._Doorhof]

dat is op server niveau.
Daarom zijn we gisteren ook offline geweest.

[Kingpin]

Je kan het zelf in je admin panel even checken of ze het doorgevoerd hebben:

• PHP 8.2.x: Veilig vanaf 8.2.35
• PHP 8.3.x: Veilig vanaf 8.3.36
• PHP 8.4.x: Veilig vanaf 8.4.27
• PHP 8.5.x: Veilig vanaf 8.5.12

Ik zou het voor de zekerheid even bekijken.

[jazzy]

Ik zou het voor de zekerheid even bekijken.

Eerste wat ik gedaan heb nadat de server weer bereikbaar was. 

[pameijer]

Stel dat HTForum wordt gehackt, welke info over ons kan dan eigenlijk allemaal lekken? Oftewel, wat weten jullie van ons, wat loggen jullie allemaal?

[J.A.F._Doorhof]

Alleen wat je zelf ingevuld hebt.
We tracken niets.

[jazzy]

Stel dat HTForum wordt gehackt, welke info over ons kan dan eigenlijk allemaal lekken? Oftewel, wat weten jullie van ons, wat loggen jullie allemaal?

Dat is een goede vraag. Uiteraard alle data die gebruikers zelf genereren, denk aan topics, reacties en privéberichten. Daarnaast natuurlijk de informatie uit je profiel, inclusief je mailadres. Verder loggen we het IP-adres tijdens registratie en IP-adres waarvandaan wordt gepost. Van je wachtwoord is een zogenaamde 'salted hash' opgeslagen, dat is een onomkeerbare versleuteling.

Dat is alles. We gebruiken geen 3rd party diensten om profielen op te stellen of andere informatie over de bezoekers te vergaren.

[pameijer]

Thanks 

[Rowdy2]

Signalen bij Nationaal Cyber Security Centrum van misbruik PHP-lek:
https://nos.nl/l/2636225

[blue-eyes]

Vandaag weer beroepsmatig erg veel gedaan voor dit verhaal.


Tenenkrommend om sommige commentaar te lezen, en de vragen die gesteld worden. En ook nog de comments van die gasten die thuis zitten en het zo goed beter weten (voor diegenen - er is een reden dat je thuis zit en niet voor ons werkt, je comments zijn het zoveelste bewijs ).



Grappigste was nog, "we moeten af van deze software partijen. Het kan niet zo zijn dat 70% van de wereld dit gebruikt.
We zitten er aan vast, we moeten naar Open source...."


Pppssssssst: PHP is in basis open source

[AudioEnZo]

Iets met beste stuurlui?

[mmuetst]

Vandaag weer beroepsmatig erg veel gedaan voor dit verhaal.


Tenenkrommend om sommige commentaar te lezen, en de vragen die gesteld worden. En ook nog de comments van die gasten die thuis zitten en het zo goed beter weten (voor diegenen - er is een reden dat je thuis zit en niet voor ons werkt, je comments zijn het zoveelste bewijs ).



Grappigste was nog, "we moeten af van deze software partijen. Het kan niet zo zijn dat 70% van de wereld dit gebruikt.
We zitten er aan vast, we moeten naar Open source...."


Pppssssssst: PHP is in basis open source

       

[mmuetst]

Moeten we ook maar stoppen met Microsoft producten, in de oktober Windows updates zaten volgens bij best veel gedichte lekken 

[J.A.F._Doorhof]

Het is als je goed nadenkt eigenlijk best vreemd dat het leeuwendeel van het internet loopt op software die door grotendeels vrijwilligers word ondersteund.

[blue-eyes]

Je kan je ook afvragen, het is een vrijwillige keuze, waarom 70% voor PHP kiest...........



Ken jij alternatieven die even goed zijn?

[ElpeeTwaalf]

Vandaag weer beroepsmatig erg veel gedaan voor dit verhaal.


Tenenkrommend om sommige commentaar te lezen, en de vragen die gesteld worden. En ook nog de comments van die gasten die thuis zitten en het zo goed beter weten (voor diegenen - er is een reden dat je thuis zit en niet voor ons werkt, je comments zijn het zoveelste bewijs ).



Grappigste was nog, "we moeten af van deze software partijen. Het kan niet zo zijn dat 70% van de wereld dit gebruikt.
We zitten er aan vast, we moeten naar Open source...."


Pppssssssst: PHP is in basis open source

Geheugencorruptie-lek in PHP was al 22 jaar bekend maar met dat klote AI nu kan elke oelewapper met een slim geschreven adversary prompt de AI zover krijgen dat die je uitleggen hoe die te misbruiken is in een POC.
Gaat alleen maar erger worden de komende jaren.

[blue-eyes]

Klopt, PHP heeft dit ook voor hun moverende redenen achter gehouden en door een lek zelfs enkele dagen eerder dan gepland dit naar buiten gebracht.



Dit is de nieuwe realiteit. Gisteren hoorde ik iemand nog zeggen, als mens kunnen we 4 uur geconcentreerd code bekijken, bewerken, of wat dan ook.
AI kan dat duizenden malen sneller en 24/7...... Onbeperkt.
Om die reden is ook een bepaald AI model niet uitgebracht, de verkeerde mensen zouden dit massaal in gaan zetten... (fluistering in de gang..... )

Ik verwacht vanuit mijn werk een enorme load.
We hebben als IT wereld al tientallen jaren code lopen te kloppen, wat lang niet altijd en overal veilig genoeg is. Reden zijn valide, het is niet mogelijk om dit 100% veilig op te leveren.
Feitelijk is dan wel, dat met de AI van nu, al die tientallen jaren nu in een hele korte tijd rechtgetrokken gaat worden.......

MASSA's werk, niet normaal wat al op mijn teams afkomt. En dit is nog maar het topje van de ijsberg.
Ik hoop op een golf beweging, nu heel veel ineens, daarna meer steady.......

We gaan duizenden uren spenderen in de nacht (gebruikers willen overdag niet gestoord worden). Mensen die in de nacht werken kunnen overdag niet werken, maar zijn vaak dezelfde mensen, etc.
Dus even gratis issue erbij, capaciteit van de teams......... Klanten zeggen, je hebt een contract, deal with it


Bijna weekend

[J.A.F._Doorhof]

@blue-eyes 
Op zich geen bezwaar tegen PHP maar in een moderne tijd met AI is het misschien dan verstandig om die stichting met voornamelijk vrijwillergs, ergens bij in te lijven die ook het budget hebben om alles continue in de gaten te houden en bij gevallen van urgentie direct een heel team eraan kunnen zetten.

We zien nu al wat de enorme schade is als er 1 dag geen internet toegang is.
Als dit regelmatig gaat gebeuren dan zijn de kosten niet meer te overzien, en dan heb ik persoonlijk liever dat PHP onder een veel grotere organisatie gaat vallen.

[Kingpin]

@blue-eyes 
Op zich geen bezwaar tegen PHP maar in een moderne tijd met AI is het misschien dan verstandig om die stichting met voornamelijk vrijwillergs, ergens bij in te lijven die ook het budget hebben om alles continue in de gaten te houden en bij gevallen van urgentie direct een heel team eraan kunnen zetten.

The PHP Foundation wordt ondersteunt door hele grote techbedrijven, dus qua geld zal het niet zo'n probleem zijn.
Alles wordt ook wel in de gaten gehouden, met een apart security team en 'legal hackers'.
Jij denkt volgens mij dat een clubje is, in de kern is dat ook zo maar daaromheen is het veel groter dan je denkt.

[J.A.F._Doorhof]

Dat is wel bekend

Je kan je alleen afvragen of met de rol/reputatie van big tech op dit moment en hoe belangrijk het internet is, het dan niet verstandiger zou zijn hier defensie een rol in te geven.

[i2Paq]

Dankzij ai hebben wij in onze software een paar issues gevonden die een mens (waarschijnlijk) nooit gevonden had.
En dus nooit had kunnen misbruiken.

De oplossing werd ook daar ai aangedragen.

Net zoals het bouwen van modules voor onze software, vele malen sneller dan een mens kan.

Blijft een dubbel gevoel.

[P_j_V]

Dat is wel bekend

Je kan je alleen afvragen of met de rol/reputatie van big tech op dit moment en hoe belangrijk het internet is, het dan niet verstandiger zou zijn hier defensie een rol in te geven.

Defensie? En dan vol met gaten (backdoors)?
Nee, bedankt.

[Kingpin]

Defensie? En dan vol met gaten (backdoors)?
Nee, bedankt.

In derdaad

Dat is wel bekend

Je kan je alleen afvragen of met de rol/reputatie van big tech op dit moment en hoe belangrijk het internet is, het dan niet verstandiger zou zijn hier defensie een rol in te geven.

Hoe kijk je dan tegen Microsoft, Meta etc aan?

[J.A.F._Doorhof]

Ik denk dat mijn punt niet overkomt
PHP is dermate belangrijk dat het me verstandig lijkt om hier meer overzicht en ook vanuit overheden/defensie mee bezig te zijn zodat er betere beveiligingen komen.

Hoe ik tegen big tech sta ?
Kijk even naar de boetes, manipulatie van ons kijkgedrag, op zwart zetten van kritische paginas maar fake news door laten gaan.

Dus op dit moment denk ik met de regering Trump we niet moeten vertrouwen op big tech.