PHP atualiza quatro versões de uma vez e corrige falhas de segurança

Author: Compilado do Código Fonte TV [OFICIAL] · Watch on YouTube

Video authored by the channel shown, not by IANIA; all rights belong to the creator. Transcript and summary generated automatically; the original-language content is preserved.

Original language: Portuguese

Original video: PHP atualiza quatro versões de uma vez e corrige falhas de segurança · Channel: Compilado do Código Fonte TV [OFICIAL] · 06:01 · Watch on YouTube

Topics: Cybersecurity and software security, Software engineering with AI, Open source and software ecosystems

Summary

Quatro versões estáveis do PHP receberam atualizações que corrigem falhas de segurança em componentes como FPM, OpenSSL e PHAR, além de problemas no tratamento de redirecionamentos HTTP. As versões 8.2 e 8.3 estão na fase de receber apenas correções de segurança, e a recomendação é atualizar as instalações em produção. O PHP 8.6 segue em testes, com novidades como partial functions e a função clamp; o primeiro release candidate oficial foi chamado de RC2 devido a um erro de empacotamento. Desenvolvedores podem testar essa versão em ambientes isolados e relatar problemas no GitHub, mas ela ainda não deve ser usada em produção.

Key points

Foram atualizadas as versões PHP 8.5.11, 8.4.26, 8.3.35 e 8.2.34.
As atualizações corrigem falhas em componentes como FPM, OpenSSL e PHAR, além de um problema envolvendo redirecionamentos HTTP.
Entre os problemas resolvidos estão o contorno da lista de clientes permitidos no FastCGI e o vazamento de credenciais em redirecionamentos para outro domínio.
As versões 8.2 e 8.3 recebem apenas correções de segurança, e as instalações estáveis devem ser atualizadas.
O PHP 8.6 está em fase de testes e inclui partial functions, a função clamp, mudanças em propriedades read only e novas APIs.
O primeiro release candidate oficial do PHP 8.6 recebeu o nome RC2, após um erro no empacotamento da versão anunciada como RC1.
A versão de teste não deve ser usada em produção; desenvolvedores podem testá-la e relatar problemas no GitHub.
Ataques automatizados podem identificar versões vulneráveis de PHP em servidores, independentemente do tamanho do projeto.
É recomendável testar a compatibilidade de frameworks e aplicações com o PHP 8.6 em um ambiente isolado, como um contêiner Docker.

Chapters

Start	Chapter	Summary
00:02	Atualizações de segurança nas versões estáveis	Quatro versões estáveis do PHP recebem atualizações que corrigem falhas em componentes e no tratamento de redirecionamentos.
01:35	Novidades e testes do PHP 8.6	A versão em testes traz novas funcionalidades e APIs, e seu primeiro release candidate oficial foi identificado como RC2.
03:17	Por que atualizar as versões estáveis	O vídeo recomenda atualizar o PHP em produção e alerta que ataques automatizados podem explorar versões vulneráveis.
04:52	Como testar o PHP 8.6	Desenvolvedores podem verificar compatibilidade e testar a versão em um ambiente isolado antes de relatar problemas no GitHub.
05:25	Encerramento	O canal convida o público a se inscrever e acompanhar os episódios completos do Compilado.

Quotes

O PHP atualizou quatro versões de uma vez e corrigiu falhas de segurança. — 00:02

Essa prévia ainda não deve ser utilizada em produção. — 02:43

Essas versões atualizadas, essas sim você já deve atualizar. — 03:17

Se a porta está aberta, ela entra. — 03:51

Se o teu projeto já tem cobertura de testes, roda os teus testes todos. — 05:25

Concepts and entities

PHP, FastCGI, OpenSSL, PHAR, GitHub, Laravel, Docker

Full transcript (original language)

00:02 E o PHP atualizou quatro versões numa atacada só e corrigiu far de segurança. O PHP teve uma rodada aí bem movimentado, tá? Eles chegaram nas versões. Anota aí, anota. Duvido que você vai anotar, mas tudo bem. 8.5.11, 8.4.26, 8.3.35 e a 8.2.34. Importantíssimo. >> Além de um release aí candidate do PHP 8.6. Você já sabia que o PHP já está na 8.6 6 e a 8.0 já tá deprecada há >> faz tempo, >> acho que mais de ano, tá?

00:33 >> É, com certeza. >> E você aí ainda brincando com PHP7, pô, sacanagem, né? [risadas] >> Não faça isso. >> As quatro versões estáveis corrigem falhas de segurança em componentes como o FPM, o Open SSL, o PAR, acho que FAR que chama, né? E no tratamento de redirecionamentos HTTP. Caramba. Então são erros, >> aqueles erros base mesmo. Ó, entre os problemas resolvidos estão uma forma de contornar a lista de clientes permitidos no Fest CGI e um vazamento de credenciais quando uma requisição é redirecionada para outro domínio.

01:05 >> Cassilda. >> Pois é. Então, será que essa correção não deveria ser feita também para ver ações mais antigas? Acho que eles até não não não mexem mais. Deprecou, deprecou. [risadas] Para quem mantém aplicações em produção, vale consultar o Chain Logane aí as atualizações. Toda vez que a gente fala do PHP, Java, Python, fala assim: “Atualiza, filhinho”, né? As versões 8.3 e 8.2 estão na fase em que só recebem correções de segurança. Então, se eles receberam essas correções, é porque

01:35 bicho pegou, né? Já o PHP 8.6, Se, ele tá em fase de testes e traz novidades como o partial function, que permite preencher parte dos argumentos de uma função e obter o novo colable e a função clamp, que limita. Fala de novo o nome dessa novidade deles aí, >> da novidade. [risadas] O Gabriel tá rindo porque eu já falei errado três vezes. É o special function. [risadas] >> Tá bom. Bom, deixa eu voltar aqui. Já a função clamp, ele se limita a um valor

02:09 de intervalo. Acho que eu li errado de novo. [risadas] Ai, ele que >> você entendeu o clamp que limita um valor a um intervalo. Agora foi, viu? Há também mudanças em propriedades read only e novas API para duração de tempo e operações de entrada e saída. Anunciaram em uma como IO anunciaram em uma matéria lá em 22 de setembro o RC1, mas o anúncio oficial posterior esclarece que houve um erro no empacotamento dessa versão. Por isso, o primeiro release candidate disponibilizado oficialmente

02:43 para testes recebeu o nome de RC2. O projeto pede que desenvolvedores testem suas aplicações e relatem problemas no GitHub. Essa prévia ainda não deve ser utilizada em produção. O RC3 ele tá previsto para 8 de outubro. >> Então não tente encontrar o Release Candidate One porque não vai existir. Deu ruim aí no contamento. >> Deu ruim e partiram pro dois. >> Já partiram pro dois. É o certo a se fazer. E aí 8 de outubro a gente volta aqui se der, né, pra gente falar sobre esse release candidate 3 que vai vir

03:17 também com provavelmente com algumas já das mudanças. a gente destacou nessa matéria que assim, ah, mas que adianta você falou disso, mas não é para para eu migrar, não é para botar em produção, não, não é. Agora, essas versões que foram atualizadas, essas sim você já pode, >> já pode, não, já deve >> já deve já deve atualizar, porque são versões já estáveis, >> né? E essas falhas podem ser exploradas e ah, mas pode ser explorado nada, meu projeto é pequenininho lá, tá nem aí não sei o quê, cara. E a agora >> ela não distingue projeto pequeno e

03:51 grande, ela simplesmente f assim, pô, se >> se a porta tá aberta, ela entra, >> se a porta tá aberta, ele ele vai atrás. Então é muito fácil detectar, por exemplo, num servidor que tá usando PHP, qual é a pros headers lá de resposta, qual é a versão que você tá usando do runtime, esse tipo de coisa. E aí, cara, para para você ter um ataque automatizado e poder explorar esses problemas é é muito fácil. Uhum. >> Eu, pô, para você ver, ó, falar para não falar mal do WordPress, eu tinha alguns, agora eu tenho zero projetos com WordPress, >> mas quando eu tinha, tava cheio de

04:22 projetos e projetos pequenos, coisas coisas bobas assim, landing, sabe, essas coisas pequenas e muitas vezes com versões escondidas, sabe? Quando você faz landing, por exemplo, de de lançamento, você tem várias versões ali para para você fazer com mudanças e tinha versões que estavam escondidas, que foram atacadas e foram alteradas, >> entendeu? e por problemas, não do WordPress, mas por problemas de versão do PHP também. Então você não pode dar mole, cara. Não pode dar essas coisas. >> Tem gente agora, de qualquer forma, a

04:52 gente traz também aqui essas versões como o release candidate que nós falamos aqui do PHP 8.6, porque eles estão em fase de teste. Então você pode também fazer os testes e ir lá através do GitHub colocar lá a sua, o que que você encontrou, qual foi o problema relatado, alguma sugestão. Então é importante também a gente trazer essas versões que ainda estão em testes, né? Se você usa, por exemplo, algum framework como o Laravel, tudo, tem que ver se ele já tem uma compatibilidade com essa versão do PHP. Cara, se tiver, vai no teu ambiente aí, cria aí um um Docker da vida aí, baixa uma imagem, coloca o teu projeto

05:25 num que seja numa brand nova aí e testa essa versão nova. É, é esse tipo de coisa que tem que fazer. Se você teu projeto já, já tem cobertura de testes, roda os teus testes todos aí, pronto, se rodar tranquilo, siga em paz. E esse aqui é um corte de uma notícia do compilado do Código Fonte TV, >> onde toda semana tem episódio novo falando de programação, tecnologia, inteligência artificial e cybersegurança. >> Então já se inscreve aqui no canal do Compilado e acompanha os episódios completos. [música]

06:01 [música] >> [música]