Every tweet on this account shall be written from a bot. Or not.
Zaragoza, España
Joined September 2016
- Tweets1.1K
- Following732
- Followers79
- Likes1.5K
Dev_NIX retweeted
yo si que os voy a contar un secreto que por lo visto no sabíais.
como tengáis la valentía de empezar a picar vuestras propias librerías en vez de usar soluciones que ya existen y que han sido testeadas durante muchos años por millones de personas, os falta campo para correr hijos de perra, os rajo en diagonal.
la vasta mayoría de vosotros no sabéis que coño estáis haciendo. se os considera programadores porque os suena de algo eso de apilar líneas de código y hace unos años, en la uni, conseguisteis instalaros en visual code. no por otra cosa.
de ninguna manera os pongáis a reinventar la rueda. es muy importante que entendáis que, estadísticamente hablando, sois ineptos. os debéis limitar a instalar las librerías que ya existen y usarlas porque cualquier otra cosa será un desastre en absolutamente todos los sentidos. cualquier librería que hagáis será más lenta, más inestable, más vulnerable, más tosca de usar y peor documentada. tendrá bugs que os matarán a pellizcos, tendrán edge cases que aparecerán en el peor momento, etc…
“no, pero es que es supply chain attacks…” jose manuel, escúchame, el supply chain attack se arregla poniendo un cooldown period de 2 semanas.
“ya, pero y aquella vez que casi cuelan un exploit en XZ…” josé manuel, escúchame, casos así ha habido 2 o 3 en lo que llevo yo en la industria (y llevo aquí desde antes de que tú nacieras), y siempre la comunidad los ha pescado ANTES de que llegasen a producción.
“ya, pero es que si es mi código podré arreglarlo sin esperar a nadie” josé manuel… te lo pido por favor… no te inventes situaciones imaginarias para justificar locuras. Las librerías más usadas tienen ejércitos enteros de peña que se organiza para parchear lo que haga falta, en tiempo récord, mientras tú estás babeando sobre la almohada y rascándote la nalga derecha en sueños.
No hagáis tonterías. El software ya de por sí es suficientemente vulnerable e inestable como para que vosotros os pongáis a inventar nuevas maneras de que todo sea peor.
no elaboro más
Os voy a contar un secreto que por lo visto no sabíais.
Cada que creáis cualquier apliación del mundo mundial, necesitáis librerías, herramientas y un montón de cosas.
Muchas de esas librerías, herramientas y demas cosas que instaláis sin control. En muchas ocasiones son librerías/herramientas/etc desarrolladas y mantenidas por algún fulano random en su casa que buenamente podría seguir o no las mejores practicas de desarrollo o simplemente meter todo tipo de procesos maliciosos.
Es mas y aunque ese fulano sea un ser muy respetable, siempre hay organizaciones intentando meter errores y malware en paquetes críticos que afectan no a miles sino a millones de empresas a lo largo de todo el mundo.
Seguro habéis oido hablar de ataques a la cadena de suministro. Bien pues por simplificarlo mucho esto es basicamente que alguien te cuele algo que no debería estar ahí en un paquete/librería/etc que usa MUCHA gente y por ende muchas empresas.
Como lo que pasó con Trivy que afectó a GH Actions, Docker y un sin fin de herramientas o lo que pasó con la campaña Shai-Hulud los cuales inyetaron centenares de paquetes maliciosos en npm y PyPi...
¿Sabéis en muchos casos como se detecta esto?
¡Monitorizando lo que pasa en tu infra y corrigiendo todo lo que veas que no debe pasar!
No se arregla dejando de usar todo lo que hay en internet porque entonces para eso volvemos a la época de las cabernas.
- "oh dios mío pero estan llamando a plaformas Chinas"
Cortales el acceso a internet.
- "no puedo, necesitan acceso a internet"
Monta un scanner de red, audita todo lo que pasa y sale de tu infra y capa de forma recurrente todo lo que no te cuadre. Esto por cierto se ha hecho durante toda la vida del señor, desde mucho antes que los modelos se popularizaran.
En fin, que os dejéis de cuentos de asusta viejas. Aplicar un poco de ingeniería y dejad de promulgar discursos que lo único que hacen es intentar, por temas económicos, cortar algo que es sumamente beneficioso para todos los usuarios.
Hasta aquí mi charla Ted de hoy, bye.
Dev_NIX retweeted
The Government™ has made an ad about the protests happening around the world, and it’s surprisingly honest and informative.🌍🌎🌏
Dev_NIX retweeted
«No quiero que me pongan etiquetas».
Lo escucho cada vez más en consulta.
Y hay una paradoja: por evitar una posible «etiqueta» diagnóstica, algunas personas llevan años cargando con otras: vagas, irresponsables, exageradas, difíciles, incapaces.
Un diagnóstico riguroso no consiste en meterte en una caja.
Ayuda a entender cómo funcionas, cómo interactúa una condición con tu personalidad, qué puedes modificar, qué puedes compensar y qué necesitarás adaptar.
No es una sentencia. Es información para vivir mejor.
¿Puede utilizarse un diagnóstico para encasillar? Por supuesto. Pero eso es hacer un mal uso de él.
No saber lo que te ocurre no hace que deje de ocurrirte.
Y pasar media vida culpándote por dificultades que nunca has comprendido tampoco te hace más libre.
Dev_NIX retweeted
It turns out that many people don't realize #PHP is one of the most #underfunded open-source projects, with only one full-time developer.
And that's the reality. PHP core developers can't afford to work exclusively on #PHP. Maybe they'd like to, but it's simply not possible under the current circumstances.
I'm glad someone finally spoke about this publicly. But I think we need to talk about it more often and much louder.
Dev_NIX retweeted
Every enterprise PHP shop has one guy who never left the cave, and he has the only SSH key.
Dev_NIX retweeted
Acabo de correr un análisis rápido sobre 2.137 dominios de las administraciones públicas españolas.
De ellos, 579 corren PHP. 124 devuelven la versión que usan. 96 son vulnerables a fecha de hoy. Parte de los 455 que no devuelven la versión pueden serlo también.
Dev_NIX retweeted
If all the govs shutting down servers for a PHP update, all the hosters & enterprises terrified by the vuln, gave $100k, or just $50k a year to the PHP Foundation, things could look very differently. Go, make your employer sponsor *today* thephp.foundation/sponsor/ #php #phpc @ThePHPF
Dev_NIX retweeted
Investigadores asistidos por IA están encontrando vulnerabilidades críticas en tecnología que lleva 15 años desplegada, y que nadie había encontrado antes. Son días de vértigo.
¡Imaginad si hiciéramos lo mismo con la contratación pública! 👇
👉 Imaginad si las cuentas que depositan las empresas en el Registro Mercantil —que son públicas— estuvieran publicadas y cualquiera pudiese descargarlas masiva y gratuitamente. ¡Las cuentas, no el simple BORME!
👉 Imaginad modelos de IA entrenados para detectar fraude en contratos públicos, alimentados con las cuentas de resultados, balances y memorias anuales de 3,3 millones de sociedades mercantiles durante una década y media.
👉 Imaginad lo que destaparíamos. El efecto disuasorio que tendría. El impacto positivo que tendría en las instituciones y la ciudadanía. Como país, podríamos mirarnos más orgullosos al espejo.
La corrupción ha quebrado la confianza de la ciudadanía en el Estado. Vivimos un tiempo de desafección hacia las instituciones.
Liberar los datos mercantiles no sería solo una medida de transparencia política: ¡tendría un impacto directo en cómo vivimos nuestra democracia!
Dev_NIX retweeted
La primera ministra de Japón está advirtiendo de la severidad de las vulnerabilidades críticas de ciberseguridad anunciadas hoy.
Está pidiendo a todo país que actualice urgentemente o desconecte los sistemas afectados.
Mientras tanto, el ministro español de Transformación Digital está hablando de Feijóo, Ayuso y Milei.
Y casi que mejor, porque seguramente no tiene ni la menor idea de lo que está pasando.
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X
Dev_NIX retweeted
Security called me at 6:12 AM today.
"Patch every PHP server immediately."
I asked what happened.
"Two critical vulnerabilities. Remote code execution. No authentication required."
Cool.
How many PHP servers do we have?
According to inventory: 12
According to reality:
Nobody knows.
We found one running WordPress.
Three running old internal tools.
One under someone's desk.
Two inside vendor appliances.
A forgotten employee directory from 2016.
And a server named:
PHP-OLD-DO-NOT-TOUCH
Naturally, that one runs payroll exports.
Then we found a PHP 5.6 box.
I asked who owned it.
The documentation said:
BRIAN.
Brian left in 2019.
We called Brian.
He said:
"Oh wow, that's still running?"
Excellent.
By 8 AM, leadership joined the incident call.
CEO:
"Can hackers actually get in?"
Security:
"Potentially yes."
CEO:
"Without a password?"
Security:
"Yes."
CEO:
"Then why do WE need passwords?"
Not the lesson.
Finance asked if we could wait until the weekend to patch because downtime affects revenue.
Security explained that the alternative was letting strangers execute code on our servers.
Finance asked for a cost comparison.
At 9:17, someone suggested temporarily taking the vulnerable websites offline.
Marketing refused.
"Our campaign is live."
So for the next hour, the company officially decided maintaining a landing page for 20% off webinar registration was more important than preventing remote server takeover.
We finally patched everything we could find.
Then our scanner discovered another PHP server.
Hostname:
TEMP-PHP-2014
Uptime:
4,512 days.
Nobody knows what it does.
Nobody owns it.
Nobody can shut it down.
But every time we block network access, the warehouse stops printing shipping labels.
Security has classified it as critical infrastructure.
It is running PHP 5.4.
The vulnerability has existed longer than half our employees.
The emergency patch took four hours.
Finding out what PHP actually runs took eleven.
The internet isn't held together with code.
It's held together with servers everyone is afraid to turn off.
Dev_NIX retweeted
TL;DR: @ThePHPF security team had been working round the clock since august and with multiple parties to coordinate smooth patching...
only for people to disclose 2 days before scheduled release. I feel so bad for you guys 💔
Dev_NIX retweeted
We have posted more information about today's security releases, including the sequence of events that led to the discovery, how the PHP security team is improving their processes, and what we need from you to continue this critical work. #php #security thephp.foundation/blog/2026/…
Dev_NIX retweeted
don't do this. it won't help. wait for the patch.
carthage.software
This quoted post is unavailable.
Dev_NIX retweeted
Alguien de El País, El Mundo, Telecinco, RTVE... que vea esto y lo publique para llegar a especialistas.
Dev_NIX retweeted
Haiku 5.5 is now available in the Claude Platform and Claude Code. On average, it costs around 75% less to run than Haiku 4.5.
It pairs well with Opus 5.5 or Sonnet 5.5 as a subagent. Use it for high-volume, cost-sensitive tasks like summaries, compactions, or database queries.
Dev_NIX retweeted
PHPStan 2.3.0 is out with massive leap in performance, generics improvements, detecting unused variables, improved closure type inference, inferring static variable types from assignments, and engine rewrite!
