Názory k článku
Připravte se na kritickou aktualizaci PHP

Můžeš tedy uvést jako příklad několik běžných způsobů nasazení PHP, které zatím nemají dostupnou opravu?

>Until you can patch, apply the PHP settings below as well. They are no guarantee.
>
>In php.ini, or in a drop-in .ini file under conf.d:
>
>session.uplo­ad_progress.e­nabled = 0
>session.use_stric­t_mode = 1

Jak jsem psal, to není řešení, ale podle zpráv je rozhodně lepší to udělat, než ne.
Proto se ptám, proč by to měla být blbost.

Pokud vám prší do kabrioletu se staženou střechou a okny, tak můžete například zavřít krytku nádrže. Pomůže to? Jistě, ale sedačky budete mít pořád mokré.

Můj dotaz ale byl, proč si myslíte, že vypnout upload_progress je jen jak zavřít krytku nádrže. Já neříkám, že je to řešení, já se ptám, proč tvrdíte, že je to blbost, která ničemu nepomůže.
Zatím oprava dostupná není.

Predpokladám, že vzhľadom na jeho funkciu v PHP svete disponuje aj nejakým "insider info" o ktorom zatiaľ nemôže verejne hovoriť. Takže ja by som mu to proste veril a nepýtal sa, prečo je to tak.

Existuje celkom slušný predpoklad, že z nás tu prítomných má o probléme najviac informácií.

Jasně, jenže jediné, co napsal je "AI slop", "kabriolet v dešti" atp. Tohle je vážná věc a jinde to doporučují jako dočasné řešení (např. https://sansec.io/research/php2shell).
Takže proto se ptám na důvod. Já to chápu tak, že to problém nevyřeší, ale odfiltruje nejjednodušší exploity. Takže bych rád věděl, jestli je nějaký racionální důvod, proč se na to vykašlat úplně. Já zároveň teda blokuju multipart content-type, kde vím, že se nic nenahrává.

Ja som jeho odpoveď pochopil tak, že to proste nemá význam robiť lebo reálne to riziko útoku nijako zásadne nezmenšuje a iba to vyvoláva falošný pocit, že sme takto chránení, pričom v skutočnosti vôbec nie sme.

Ale samozrejme, škodiť to asi nijako neškodí ... len nepomáha.

:+1:

A já se prostě jen ptám na základě čeho si to myslí. Neříkám, že to není pravda.

Predpokladám, že odpoveď na túto otázku bude zrejmá dnes po 16:00.

Downloads/php-7.4.patch
Downloads/php-8.0.patch
Downloads/php-8.1.patch
Downloads/php-8.2.35.tar.xz
Downloads/php-8.3.36.tar.xz
Downloads/php-8.4.27.tar.xz
Downloads/php-8.5.12.tar.xz

7.2 a 7.1 asi nemá smysl čekat, co?

A já se prostě jen ptám na základě čeho si to myslí.
Tak nějak bych tipoval, že si to Ondřej myslí na základě toho, že problematice rozumí, nebo toho, že je ohledně toho v kontaktu s lidmi, kteří problematice rozumí.

Pro vysvětlení, proč to nepomůže, je potřeba popsat mechanismus chyby. A to nikdo rozumný neudělá před tím, než to bude oficiálně oznámeno vývojáři.

Vážně by mne zajímalo, jak si to představujete. Že v době, kdy stále platí embargo na informace, vám ty informace poskytne někdo, kdo je správcem balíčků jedné z největších distribucí? Aby jeho, a případně celý Debian, příště v podobné situaci vynechali z předběžného informování? Jak byste s tou informací, proč to nepomůže, naložil? Ověřil byste si to třeba ve zdrojácích? Nebo tomu stejně budete prostě jen věřit? No a to tomu nemůžete věřit už teď?

Fascinuje mne, že máte proti sobě náhodné texty z internetu od lidí nebo AI, o kterých nic nevíte. Proti tomu vyjádření správce příslušných balíčků v Debianu. A vy požadujete po tom správci, aby před vámi své tvrzení obhájil proti těm textům neznámého původu. Přitom to pak stejně sám nedokážete věcně posoudit, kdo má pravdu. Pak se divíme, že lidé věří nejrůznějším hloupostem – když nedokážou posoudit ani takhle krystalicky čistou situaci.

Vy právě tipujete pořád, ale víte prd. Já chci vědět fakta. Odpověď "Vím to, ale nemůžu to zveřejnit" je naprosto relevantní.

21. 10. 2026, 13:50 editováno autorem komentáře

Moc sanci tomu nedavam... ale alespon vyzkouset se to hodi:

Nech toho :-)

Fakta, která můžete vědět, už víte.

Odpověď "Vím to, ale nemůžu to zveřejnit" je naprosto relevantní.
A v čem přesně se ta odpověď liší od těch, které už jste dostal? Že je embargo na informace snad víte, plyne to ze zprávičky. Takže jediný fakt, který vám chybí, je jestli to Ondřej ví nebo neví. Myslíte, že kdyby to nevěděl, psal by komentář, který napsal? Jaký přesně fakt navíc vám to „vím to“ dodá?

Nevypadá to, že chcete vědět fakta. Vypadá to, že chcete dostat dostatečné množství ujištění, že fakta víte. Je to takový ten princip: „Když mi to někdo řekl třikrát, tak má asi pravdu.“

Nikto to tu jasne nenapísal a dotyčný Bel Shamharoth nepochopil tie rôzne formulované informácie o tom, že Ondřej Surý je správcom PHP balíkov pre Debian a Ubuntu:

Takže aby bolo jasné:

https://deb.sury.org/

Who am I?

I am a Debian Developer since year 2000, and I have been packaging PHP for Debian since PHP 5. That means the official packages in Debian and Ubuntu are either my work or they are based on my work. The PHP packages in my Ubuntu PPA and Debian DPA matches the official packages in Debian. Basically I am saying that you can’t get any closer than that.

Nikto to tu jasne nenapísal
Je to napsané v článku, který k tématu vyšel. Čekal bych, že pokud někoho ta problematika zajímá, článek si přečte. Na konci tohoto vlákna je můj komentář, kde je odkaz na ten článek a citace Ondřeje Surého právě z toho článku. Takže to tu jasně napsané je.

Áno, je to v inom vlákne a v inom článku. A preto si to už možno teraz v tomto vlákne Bel všimne a pochopí. ;-)

Ne, je to v tomto vlákně. V okamžiku, kdy psal Bel Shamharoth svůj druhý komentář, byl ten můj komentář hned pod tlačítkem Reagovat, na které kliknul (pokud má nastaveno zobrazení podle vláken).

Byvalo by stačilo napsat, že informace podléhají embargu a "my nesmíme ani naznačovat". Jenže k tomu nedošlo a zcela pochopitelně to vyvolalo další a další otázky.

Byvalo by stačilo napsat, že informace podléhají embargu a "my nesmíme ani naznačovat".
Bývalo by stačilo si přečíst zprávičku. Tam je totiž tohle napsané (i když trochu jinými slovy).

Podrobnosti, zasažené verze a opravené verze zveřejní až spolu s vydáním.

A tak nějak to plyne i z celé zprávičky – informace „připravte se na aktualizaci, hodnocení CVSS hodně moc, oprava bude vydána v XY, detaily později“ se zveřejňují přesně v těch situacích, kdy detaily podléhají embargu, protože chyba je snadno zneužitelná a je potřeba zaktualizovat co nejvíc instancí co nejdřív.

Pokud někdo vidí takovéhle oznámení poprvé v životě, má jako zelenáč sedět a koukat, jaký je kolem cvrkot, aby se něco naučil. A ne vyslýchat zkušené lidi, proč kolem toho dělají takový humbuk, když by přece stačilo vypnout jednu konfigurační volbu.

Aha, a tady máme dalšího kandidáta na zaměstnání - tentokrát na mého PR manažera diskuzí...

Ale vždyť celé tohle vlákno bylo jen o tom, že jste to doporučení `session.uplo­ad_progress.e­nabled = Off` shodil jako AI slop.
Já jsem jen ptal, proč. To je snad legitimní dotaz člověka, co řeší, jestli službu odstřihnout, nebo jestli se to s tímhle nastavením do 4pm doklepe, na člověka, co ví víc. Když o tom nemůžete mluvit, tak fajn, stačí napsat. Ale když můžete říct, že to nastavení nepomůže, tak bych čekal, že můžete i říct "to je v kódu moc pozdě" nebo "nemůžu říct podrobnosti".

To je snad legitimní dotaz člověka, co řeší, jestli službu odstřihnout, nebo jestli se to s tímhle nastavením do 4pm doklepe, na člověka, co ví víc.
No, vlastně není. 1. Kdyby problém řešilo tohle nastavení, úvodní oznámení by bylo, že má PHP bezpečnostní problém, předejde se mu tímto nastavením a oprava bude vydána později. Když bylo místo toho vydané oznámení o tom, že bude vydána nová verze opravující bezpečnostní chybu a detaily budou zveřejněny později, je poměrně snadné si z toho odvodit že celou tu chybu nejde takhle jednoduše „vypnout“. 2. Ondřej Surý napsal, že nedoporučuje na to spoléhat. Takže už to máte potvrzené dvakrát, že to nepomůže. A vy tvrdíte, že je legitimní chtít to potvrdit ještě potřetí.

Přičemž hodnota toho třetího potvrzení by pro vás byla jenom v tom, že byste si udělal čárku, spočetl byste si, že jste to už slyšel třikrát, a pak byste tomu konečně uvěřil.

Když o tom nemůžete mluvit, tak fajn, stačí napsat.
To je ale přece napsané přímo ve zprávičce, že detaily budou zveřejněné až s opravou.

to je v kódu moc pozdě
K čemu by vám taková informace byla? Ověřoval byste to v kódu? Nebo byste si jen řekl, že to vypadá jako věrohodné vysvětlení? Pokud by vám Ondřej Surý chtěl škodit tím, že řekne, že to nastavení nestačí, nemohl by v tom škodění pokračovat tím, že si vymyslí nějakou věrohodnou výmluvu, proč to nebude fungovat? Třeba „to je v kódu moc pozdě“?

Zkrátka nezískal byste žádnou informaci navíc. Jenom pocit, že když jste to slyšel dvakrát, je to málo, ale když jste to slyšel třikrát, můžete tomu věřit.

Ja spise ocekavam ze ma ted spoustu prace s tim aby to vsechno sprocesoval.
Misto toho ma spoustu casu vypisovat do diskuzii.

> Ja spise ocekavam ze ma ted spoustu prace s tim aby to vsechno sprocesoval.
> Misto toho ma spoustu casu vypisovat do diskuzii.

LOL, posílám vám nabídku práce, abyste na manažera mého volného času, protože zjevně víte, co bych měl nebo neměl se svým časem dělat...

Diky. Budu o tom uvazovat.

Takže se na to spoléhat nedá.

Samo o sebe 100% nie, no je to relevantná súčasť mitigácie (súbeže s ďalšími opatreniami á la znemožnenie multipart/form-data requestov na úrovni RP resp. web servera), ak nie je možnosť operatívne patchnúť binárku, resp. kým bude patchnutá.

Ono není potřeba na to jít tak složitě. Neoficiální, ale široce rozšířené, info bylo, že ty volby snižují plochu útoku. Když to pak někdo označí za AI slop, tak člověk neví, jestli je to ochrana nedostatečná (což věděl i před tím), nebo jestli je to úplná blbost. To nemá s důvěryhodností dotyčného nic společného, ale když člověk nemá k dispozici nic jiného(!), tak částečná ochrana je lepší než žádná. Tak co udělám? Zeptám se, jak to dotyčný myslel. Nic víc, nic míň.

21. 10. 2026, 17:08 editováno autorem komentáře

Jenže vy jste se nezeptal ani na to, jak to dotyčný myslel, ani zda je to aspoň částečná ochrana nebo úplná blbost.

Hele, já myslím, že si to každý může přečíst, ne?

Hele, já myslím, že si to každý může přečíst, ne?
Ano, může.

Jestli si myslíte, že jste se ptal, jak to bylo myšleno, nebo zda je to aspoň částečná ochrana nebo blbost, tak jsou vaše vyjadřovací schopnosti hodně špatné.

„Ono není potřeba na to jít tak složitě. [...] Zeptám se, jak to dotyčný myslel. Nic víc, nic míň“

To je mi naprosto jasné. To, co popisujete, se v češtině nazývá „selský rozum“ a v angličtině „common sense“ a zdá se mi, že to bylo zjevné většině diskutujících.

Co se týče té důvěryhodnosti, tak v normálštině jsem tím myslel prostě to, že když by vám někdo odpovídal nesmyslně, nebo měl špatnou pověst, asi byste jeho názory nebral tak vážně jako někoho, kdo vám svoje tvrzení dobře podloží. A tohle chování (zredukované na váš případ, jinak by to byla spíš diplomka) jsem ve své eseji zakódoval do pseudo-formalizované podoby.

---

Popravdě řečeno, mně přijde celá ta situace naprosto absurdní.

Normálně bych čekal, že se stane něco jako:

• A: Prý nastavení upload_progress může snížit šanci proti určitým typům útoků.
• B: Nesmysl.
• A: Proč?
• B: Znám princip toho bugu, tohle nijak nepomůže.
• A: *Vyhledání informací o B -> zjištění, že se jedná o správce.*
• A: Aha, díky.
• Vypravěč: od prvního bodu uběhlo 5 minut.

A místo toho se tu hádá jako děti ve školce. A když už to ostatní (a tím „ostatní“ myslím především jednoho diskutujícího) dotáhli do téhle absurdity, inspirovalo mě to k mému pseudo-technickému rozboru, speciálně ušitého pro onoho diskutujícího, protože jsem byl zvědavý na jeho reakci (a na to, jak moc fool-proof to dokážu sesmolit.)

Taková forma prokrastinace ¯\_ (ツ)_/¯

Za prvé, Bel Shamharoth se neptal na zdroj informace. Za druhé mne dost překvapuje, že v X používáte násobení a ne maximum. Pokud mi nějakou informaci řekne důvěryhodná osoba, je mi jedno, jaký je zdroj – protože důvěryhodnost té osoby zahrnuje i to, jak pracuje se zdroji. Naopak pokud mne nedůvěryhodná osoba odkáže na zdroj, kterému důvěřuji, mou důvěru v ten zdroj to nijak nezmenší.

Samozřejmě pro lidi, kteří mezi X, Y a Z nerozlišují, se pak jedná o trojnásobné opakování té stejné informace, což se pak může jevit jako nesmyslná aktivita.
Mne by na tom nejvíc zajímalo, co by Bel Shamharoth dělal s odpovědí. Ověřoval by si ji? Nebo by posoudil, zda ta odpověď zní věrohodně? Že se v tom neříká nic o konjunkci Saturnu s banánem, ale ta odpověď zní dostatečně ajťácky?

Pokud se na něco ptám, měl bych vědět, co budu dělat s odpovědí. Nebo-li když se na něco ptám, měl by být rozdíl v tom, když dostanu odpověď A než když dostanu odpověď B.

dává šanci se pokusit ověřit onen zdroj
Jenže Bel Shamharoth se neptal na zdroj.

Mimochodem, tím vaším postupem vám X pro ten první komentář ve vlákně vychází něco jiného než nula?

„Za prvé, Bel Shamharoth se neptal na zdroj informace.“

Já jsem psal „zdoj“, on se ptal na „důvod“ („Máte nějaký důvod, proč se domnívat, že je to fake?“). Mea culpa.

Že jsem tyto dva pojmy zaměnil je zcela jistě neobhajitelné, a že „zdroj“ považuji za validní „důvod“ jistě není omluvou, ale pokud byste byl tak laskav a i přesto mi dovolil upřesnit můj původní příspěvek, nahraďme všechny zmínky o zdroji za zmínky o důvodu (a všechny porovnávání osoby se zdrojem nahraďme tvrzením, zda se jedná o přímou znalost dotyčného.)

Docela zvláštní je, že se po této opravě na mojí pointě nic podstatného nezměnilo.

„Za druhé mne dost překvapuje, že v X používáte násobení a ne maximum. Pokud mi nějakou informaci řekne důvěryhodná osoba, je mi jedno, jaký je zdroj – protože důvěryhodnost té osoby zahrnuje i to, jak pracuje se zdroji.“

Tohle je asi o sociální bublinách, ve kterých se pohybujeme.

V první řadě, já s lidmi většinou explicitně nerozebírám, jak pracujeme se zdroji (kromě dvou příbuzných) a tedy ani nemohu vědět, zda vždy předávají informace se stejnou úrovní důvěryhodnosti, takže tyto dvě veličiny nedokážu sloučit.

Za druhé, nenabyl jsem dojmu, že bych znal jedinou osobu, která by vždy konzistentně předávala informace na stejné úrovni důvěryhodnosti. Můj subjektivní dojem je, že to ve velké části případů ani není možné, minimálně ze dvou důvodů: a) mnoho informací se předává skrz řetězec který přidává šum a zjednodušení, b) většina lidí mají různou úroveň znalostí různých oborů a tedy čím menší mají odbornost v oblasti nějaké informace, tím větší je šance (byť neúmyslného) chybného vyhodnocení z jejich strany (a z mé taktéž.)

Koneckonců to dělám sám: občas narazím na informaci, jejíž zdroj není úplně nejjistější, přesto mi to přijde jako zajímavé téma k diskuzi. Samozřejmě v takových případech nejprve upozorním na to, že je zde míra nejistoty.

A za třetí, lidi, které znám (vč. sebe), jsou více či méně emocionální a přestože se tomu člověk snaží bránit, často emoce a celkově aktuální psychický stav mají tendenci přidat další šum a zkreslení. (Tohle je vyloženě o sociální bublině: o studené, robotické lidi nestojím, takže emocionálně vřelé lidi vítám, byť průvodním jevem pak mohou být zkreslenější informace.)

Pro mne tedy osoba a její zdroje nejsou slučitelné.

„Naopak pokud mne nedůvěryhodná osoba odkáže na zdroj, kterému důvěřuji, mou důvěru v ten zdroj to nijak nezmenší.“

Což nijak nerozporuje můj (silně zjednodušený) model.

Vy píšete o X, které je ovšem použito v situaci, kdy je zdroj/důvod neznámý.

Situace, kterou popisujete, je velice podobná tomu, co zmiňuji na konci mého příspěvku - přechod z Y' na Z'. (Jistě, tam nejde o maximum, nýbrž kompletní vyřazení osoby, proto je to podobné, ne totéž. Tak jako tak, je to a) zjednodušení, b) popsání konkrétních situací, ne obecný vzorec použitý vždy a všude.)

„Mne by na tom nejvíc zajímalo, co by Bel Shamharoth dělal s odpovědí. Ověřoval by si ji?“

Nejsem si úplně jistý, proč je potřeba najedou rozebírat tohle. Nějak se mi zdá, že to odvádí pozornost od původní pointy..?

V první řadě bych doporučil zeptat se jeho samotného, já mohu pouze tipovat. A když bych měl hádat, vycházel bych z tohoto příspěvku, kde píše „[...] já se ptám jako člověk, co to řeší člověka, co do toho vidí víc.“

Z toho dedukuji, že je to člověk, který spravuje nějaký PHP server a v daný moment tápe ve tmě: má zranitelný systém a svázané ruce. Ono zmíněné nastavení - upload_progress - slibuje, že má nějakou šanci odvrátit aspoň nějakou podmnožinu vektorů útoků, kdežto pan Surý tvrdil, že je ne. A z toho mi vyplývá naprosto jednoznačný cíl: nasbírat co nejvíc informací, aby se mohl rozhodnout, zda má smysl to nasazovat u sebe či ne.

Takže si tipuji, že odpověď co by s tou informací udělal by záleželo, jak by ta informace zněla. Pokud by to bylo „slyšel jsem to v tramvaji,“ asi by stále bral nastavení upload_progress v potaz. Pokud by to bylo „psali to na Redditu“, aby by se podíval do vlákna a pokračoval v hledání informací. Pokud by to bylo „znám princip bugu“, buď by tomu hned uvěřil (a upload_progress začal ignorovat), nebo by si nejprve ověřil samotného pana Surého.

Každopádně to je jen a pouze moje spekulace. Zdá se mi ale celkem logická, hodně to spadá do vzorce chování, když někdo narazí na tvrzení „když uděláš A, stane se B“ a před tím, než udělá A se snaží doptat oponentů, aby si ujasnil, jaká je šance, že ono tvrzení je pravdivé. Nezdá se mi to být raketovou vědou.

Nicméně mne na vaší otázce ještě zaráží jedna věc: skoro až mi to zní, že pokud by s tou informací neudělal něco, co byste uznával, tak se nemá vůbec na to ptát..? Proč? Jakože třeba mě to taky zajímalo a měl jsem stejnou otázku, ale protože ji Bel už napsal, přišlo mi zbytečné ji spamovat znovu, jenom mě poněkud zarazily odpovědi. A můj důvod byl čistě zvědavost, aniž bych měl praktický důvod (nanejvýš tak „jak moc se bát“, protože spravuji PHP web, ale ne server a čím víc dočasných workaroundů by existovalo, tím menší šance, že mne to zasáhne a budu muset taky řešit. Čistě emocionální záležitost.) Nesmím?

„Nebo by posoudil, zda ta odpověď zní věrohodně? Že se v tom neříká nic o konjunkci Saturnu s banánem, ale ta odpověď zní dostatečně ajťácky?“

Opravdu je tohle zapotřebí?

„Pokud se na něco ptám, měl bych vědět, co budu dělat s odpovědí. Nebo-li když se na něco ptám, měl by být rozdíl v tom, když dostanu odpověď A než když dostanu odpověď B.“

Opravdu to tak musí být? Já se třeba kdysi ptal, jak proběhl útok xz a dostal odpověď ve formě článku, který to rozebíral. Nebyl by pro mě rozdíl, jestli by ten útok proběhl sociálním inženýrstvím, hacknutím operačního systému, nebo třeba politickými machinacemi. Přesto jsem se ptal a odpověď uložil do krabičky „zajímavosti.“

Zrovna tak jsem se třeba ptal, jak vypadá Pluto. A odpověď jsem dostal ve formě fotky, kterou považuji za velmi fascinující, ale jeho složení, barva, tvar, nově objevené měsíce, pro mě nedělají rozdíl, nejsou pro mě nijak praktické, a nijak neovlivňují můj život.

Proč by to mělo být špatně?

„ Jenže Bel Shamharoth se neptal na zdroj.“
Vizte výše. Mea culpa.

„Mimochodem, tím vaším postupem vám X pro ten první komentář ve vlákně vychází něco jiného než nula?“

Předpokládám, že se odkazujete na tento komentář (ujišťuji se jen pro jistotu) a že i když se ptáte na komentář, myslíte jen jeho část popisující upload_progress (ale moje odpověď se vlastně moc nemění ani pro celý komentář) a že se ptáte na moje vyhodnocení v době, kdy na něj ještě neexistovaly odpovědi.

Vstupy pro X:

• Pisatel je někdo, koho si v diskuzích nijak nevzpomínám -> velká neznámá.
• Neuvádí žádné zdroje -> velká neznámá.

Navíc (nemění X, ale mohlo by přebít jiným):

• Píše o bugu, o kterém takřka nic nevím -> velká neznámá.
• Daná oblast je v mých znalostech spíše okrajová -> velká neznámá.

Přiřadit X nulu se mi zdá být v dané situaci na úplně stejné úrovni, jako přiřadit jedničku. Takže ne, ani náhodou mi tehdy nevycházela nula.

Že jsem tyto dva pojmy zaměnil je zcela jistě neobhajitelné, a že „zdroj“ považuji za validní „důvod“ jistě není omluvou
Tyto dva pojmy znamenají každý úplně něco jiného. Že „zdroj“ považujete za „důvod“ je nesmysl – ta věta je sice gramaticky správně, ale nedává žádný smysl. Je to asi to samé, jako kdybyste napsal, že někdo seděl červeně.

Docela zvláštní je, že se po této opravě na mojí pointě nic podstatného nezměnilo.
Jako že to nemělo pointu ani předtím, ani po náhradě slov? S tím by se dalo souhlasit. Ale ž eby to pro vás byla výhra…

Což nijak nerozporuje můj (silně zjednodušený) model.
Váš model to nerozporuje. Akorát mne překvapuje, že když vás někdo nedůvěryhodný odkáže na pro vás důvěryhodný zdroj nějaké informace, vy tomu zdroji nebudete věřit.

(Jak by vás odkázal na důvěryhodný důvod informace netuším, takže předpokládám, že se tady bavíme stále o zdroji a ne o důvodu.)

Nejsem si úplně jistý, proč je potřeba najedou rozebírat tohle. Nějak se mi zdá, že to odvádí pozornost od původní pointy..?
Protože je to podstata problému. A tím je otázka, jaký význam měl Bel Shamharothův druhý komentář, jestli tím chtěl něco zjistit a případně co.

Z toho dedukuji, že je to člověk, který spravuje nějaký PHP server a v daný moment tápe ve tmě: má zranitelný systém a svázané ruce.
Že má svázané ruce je vaše ničím nepodložená spekulace. SPíš to tak není. Kdyby měl svázané ruce a aktualizaci nemohl provést, takhle by se neptal – protože by aktualizace pro něj nebyla volba. Takže aktualizace pro něj zřejmě volba byla, i když to asi nebyla volba bez negativ. Takže ta otázka by se možná dala trochu rozvést do: „Je bezpodmínečně nutné PHP aktualizovat, nebo jsou nějaké jiné možnosti, jak se útokům smysluplně bránit?“ Odpověď na tuto otázku je: „Jediné bezpečné řešení je aktualizace.“ A tu (v trochu jiné formulaci) dostal.

Ono zmíněné nastavení - upload_progress - slibuje, že má nějakou šanci odvrátit aspoň nějakou podmnožinu vektorů útoků, kdežto pan Surý tvrdil, že je ne.
Možná vám a některým dalším pomůže, když ta věta bude formulována opačně: Uvedené nastavení nemá šanci zastavit nějakou podmnožinu útoků.

Ondřej Surý netvrdil, že nemá šanci to nějaké útoky zastavit. On napsal, že by rozhodně nedoporučoval na to spoléhat.

A z toho mi vyplývá naprosto jednoznačný cíl: nasbírat co nejvíc informací, aby se mohl rozhodnout, zda má smysl to nasazovat u sebe či ne.
Všechny potřebné informace měl. Bel Shamharoth nesháněl informace, aby se mohl rozhodnout – ty měl. Jenže jemu se ten závěr nelíbil. Sháněl záminku, proč neprovést ten závěr, ke kterému všechny informace směřovaly.

Takže si tipuji, že odpověď co by s tou informací udělal by záleželo, jak by ta informace zněla. Pokud by to bylo „slyšel jsem to v tramvaji,“ asi by stále bral nastavení upload_progress v potaz. Pokud by to bylo „psali to na Redditu“, aby by se podíval do vlákna a pokračoval v hledání informací. Pokud by to bylo „znám princip bugu“, buď by tomu hned uvěřil (a upload_progress začal ignorovat), nebo by si nejprve ověřil samotného pana Surého.
Ta informace, že je potřeba aktualizovat, zazněla poprvé od autorů PHP. Pak byla znovu potvrzena Ondřejem Surým, o kterém Bel Shamharoth napsal, že je to „člověk, co do toho vidí víc“. Proti tomu stojí vyjádření někoho neznámého někde na internetu. Opravdu v takové situaci nevíte, jak se rozhodnout? Co by musel Ondřej odpovědět, aby si Ben mohl říct „OK, tak já se na to spolehnu“?

snaží doptat oponentů, aby si ujasnil, jaká je šance, že ono tvrzení je pravdivé.
Znovu bych tu připomněl situaci. Autoři PHP tvrdí, že je potřeba aktualizovat. Někdo náhodný tvrdí, že aktualizace není bezpodmínečně nutná a dá se to zachránit konfigurační volbou. Ondřej Surý jako správce distribučních balíčků tvrdí, že by na tu volbu rozhodně nespoléhal. V této situaci nemáte dost informací na to, abyste si ujasnil, které tvrzení je pravdivé? Jak by pomohla jakákoli myslitelná odpověď? „Tvrdí to autoři PHP, a ti tomu rozumí“, „neřeší to všechny možné útoky na tuto chybu“ – co by taková odpověď zvrátila?

Nebo se to dá napsat i mnohem stručněji: pokud si myslíte, že někdo jiný vidí do problematiky víc než vy, opravdu si myslíte, že dokážete na základě informací od něj fundovaně vyvrátit jeho tvrzení?

skoro až mi to zní, že pokud by s tou informací neudělal něco, co byste uznával, tak se nemá vůbec na to ptát..?
Tak to vám zní špatně. Ten princip je hrozně jednoduchý – ptát se má smysl jedině tehdy, když různé odpovědi mohou vést k různým výsledkům. Pokud se rozhodnete, že dítěti v restauraci objednáte rizoto, nemá smysl se ho ptát, co che k jídlu, když bez ohledu na jeho odpověď mu stejně vždycky objednáte rizoto.

A můj důvod byl čistě zvědavost,
S tím je holt potřeba počkat na konec informačního embarga. A opět je zbytečné se na to ptát. Protože je jasné, že to zajímá všechny, že se to v danou chvíli nedozvíte a že se to dozvíte hned, jak embargo skončí – bez ohledu na to, zda se někdo ptal.

jak moc se bát
Což ovšem bylo patrné už z prvního oznámení.

čím víc dočasných workaroundů by existovalo, tím menší šance, že mne to zasáhne
Jenže takhle to nefunguje.

Nesmím?
Můžete. Ale nemůžete se pak divit, že se vám poprávu dostane odpovědi, že si máte trhnout nohou. Zejména pokud tu otázku naformulujete způsobem, že vlastně autorům PHP ani Ondřeji Surému v hodnocení závažnosti chyby nevěříte a myslíte si, že na základě odpovědi v diskusi to posoudíte lépe.

Opravdu je tohle zapotřebí?
Vypadá to, že to zafungovalo a pochopil jste, jak moc mimo podle mne ten komentář byl.

Opravdu to tak musí být?
Když to tak není, je ta otázka zbytečná. A pak je otázku, proč někdo tu zbytečnou otázku klade.

Já se třeba kdysi ptal, jak proběhl útok xz a dostal odpověď ve formě článku, který to rozebíral.
A v případě těch chyb v PHP si myslíte, že kdyby se nikdo nezeptal v komentářích na Rootu na podstatu té chyby, nikdo by to nikde nepopsal?

A odpověď jsem dostal ve formě fotky, kterou považuji za velmi fascinující, ale jeho složení, barva, tvar, nově objevené měsíce, pro mě nedělají rozdíl, nejsou pro mě nijak praktické, a nijak neovlivňují můj život.
Tu fotku jste si zjevně prohlédla a byl jste jí fascinován. Což je rozdíl oproti situaci, kdybyste tu fotku vůbec neviděl.

Předpokládám, že se odkazujete na tento komentář
Přesně tak.

i když se ptáte na komentář, myslíte jen jeho část popisující upload_progress
Ne, myslím tím celý komentář, protože má jednoho autora a není tam uveden žádný zdroj, takže pro celý komentář vychází stejné vaše X.

Přiřadit X nulu se mi zdá být v dané situaci na úplně stejné úrovni, jako přiřadit jedničku.
Aha, já jsem myslel, že se pohybujeme na škále od nuly do jedné, a „velice nízká konstanta“ je něco, co se blíží nule. Evidentně pro vás „velice nízká konstanta“ na škále od nuly do jedné může být i jedna.

Případně ještě zvažte, zda jste se do těch vašich vzorečků nezamotal a jestli neznámému zdroji opravdu klidně přiřadíte důvěryhodnost 1. Také zvažte to, že fakt, že nějaký zdroj považujete za nedůvěryhodný, neznamená, že byste o tom zdroji říkal, že lže. Prostě jenom nemáte žádný důvod považovat jej za důvěryhodný, tím pádem není důvěryhodný.

„Jako že to nemělo pointu ani předtím, ani po náhradě slov? S tím by se dalo souhlasit.“

Oh. Takže vy tam žádnou pointu ani nevidíte.

Tak to je smutné.

Já jsem se (očividně mylně) domníval, že jsme v situaci, kdy moji pointě sice rozumíte (tj. nuance mezi X, Y a Z), ale nesouhlasíte s ní, takže diskuze je o jejím rozebírání a argumentování.

Ale k této fázi jsme se zjevně ani nedostali a já odpovídal na základě mylného předpokladu. Netušil jsem, že ta nuance mezi X, Y a Z je až tak moc složitá a těžká myšlenka.

Tohle tedy i vysvětluje, proč váš příspěvek obsahuje tolik nepravd, jako je kupříkladu vaše trvzení „když vás někdo nedůvěryhodný odkáže na pro vás důvěryhodný zdroj nějaké informace, vy tomu zdroji nebudete věřit“ přestože nejen že původní příspěvek píše pravý opak (konkrétně „Z' = Důvěryhodnost(o­věřený zdroj)“ kde si račte povšimnout, že oproti Y' již byla vyškrtnuta ona osoba, takže - narozdíl od vašeho tvrzení - v této situaci nebude důvěryhodnost (pro mne) ověřeného zdroje snížena nedůvěryhodností osoby), ale navíc jsem na to upozorňoval i v následující odpovědi („Situace, kterou popisujete, je velice podobná tomu, co zmiňuji na konci mého příspěvku - přechod z Y' na Z'.“)

Každopádně, diskuze s někým, kdo chápe moji pointu a oponuje ji, je pro mě zajímavá a rád se jí účastním. Často bývá velmi poučná a přinejmenším mentálně stimulující.

Ale diskuze s někým, kdo ji v první řadě nepochopil a ani se o to nesnaží (a tedy se naprosto pochopitelně domnívá, že tam žádná není) je poněkud plytká a nekoncepční a za můj čas a energii mi nestojí.

Je to trochu zklamání, ale to vám samozřejmě vyčítat nemohu - taková zklamání vznikají na základě vlastních nerealistických očekávání, za což samozřejmě nenesete žádnou odpovědnost. Je to moje vlastní chyba, že jsem vás tolik přecenil.

Netušil jsem, že ta nuance mezi X, Y a Z je až tak moc složitá a těžká myšlenka.
Vidíte, a já jsem to po přečtení vašeho komentáře věděl hned, že to, co se snažíte napsat, je pro vás příliš těžká a složitá myšlenka než aby se vám podařilo se v tom zorientovat. Jestli je problém zrovna v nuanci mezi X, Y a Z netuším, spíš mi připadá, že se celkově neorientujete v tom, co vlastně chcete sdělit, a zamotáváte se v tom.

Začněte třeba tím, že když napíšete vzorec X bez nějakých omezujících podmínek, tak ten vzorec musí platit i o dva řádky níž. Pokud tvrdíte, že o dva řádky níž už neplatí, tak vám na začátku asi chyběly omezující podmínky, za kterých vzorec platí.

konkrétně „Z' = Důvěryhodnost(o­věřený zdroj)“
To ale není pravý opak, že? Zaprvé ve vzorci Z' nemáte toho někoho nedůvěryhodného, za druhé já jsem psal o „důvěryhodném zdroji“, vzorce Z' je o „ověřeném zdroji“. „Důvěryhodný zdroj“ je takový zdroj, kterému obecně věřím – třeba konkrétní člověk nebo médium. „Ověřený zdroj“ znamená, že se na ten zdroj někdo odkázal a já jsem si ověřil, že ten zdroj opravdu tvrdí to, co dotyčný deklaroval.

kde si račte povšimnout, že oproti Y' již byla vyškrtnuta ona osoba
No právě, ty vzorce jsou navzájem nekonzistentní. Pak se v tom těžko můžete zorientovat.

v této situaci nebude důvěryhodnost (pro mne) ověřeného zdroje snížena
Ověřenost zdroje a důvěryhodnost jsou dvě různé věci. Když mne někdo odkáže na Echo24 a já si ověřím, že tam opravdu vyšel článek s daným tvrzením, je to ověřený zdroj. Ale není důvěryhodný.

Ale diskuze s někým, kdo ji v první řadě nepochopil a ani se o to nesnaží
Ale já se snažím vám vysvětlit, kde jste v těch vašich konstrukcích udělal chybu.

Je to moje vlastní chyba, že jsem vás tolik přecenil.
Přesně, vždycky je to chyba toho druhého, nikdy vaše. Proto pak píšete texty, které jsou vnitřně rozporné, a zaměňujete slova z úplně odlišným významem – zdroj ×
důvod, ověřený zdroj × důvěryhodný zdroj… (Mimochodem, co je podle vás „ověřený důvod“ nebo „důvěryhodný důvod“, když jsou ta slova podle vás synonyma?)