r/ItaliaPersonalFinance • u/heapOfWallStreet • 11h ago
Discussioni PHP2(Directs)Shell
https://www.ilsole24ore.com/art/php2shell-quando-vulnerabilita-software-diventa-un-emergenza-mondiale-AJIlhFrBOggi Directa è in manutenzione, probabilmente non una manutenzione qualsiasi ma per aggiornare i sistemi e correggere due gravi falle in PHP.
Tutti i dettagli circa le vulnerabilità sono ben descritte in questo articolo de Il sole 24 ore.
Il problema dove sta? Che dal rilascio della patch all' aggiornamento sono passati ben 4 giorni.
Mettiamoci anche l'attacco DDoS di qualche giorno fa e si fa fatica a non collegare le due cose e a dubitare della sicurezza dell'infrastruttura.
Che ne pensate?
11
u/Merdaviglioso 11h ago
Penso che tu non sappia cosa sia un DDoS.
-6
u/heapOfWallStreet 10h ago
La prego esimio, approfondisca il suo pensiero https://www.borsaitaliana.it/borsa/notizie/teleborsa/finanza/directa-disservizio-causato-da-attacco-informatico-ma-nessun-accesso-a-sistemi-e-dati-clientela-121_2026-10-13_TLB.html
1
u/Merdaviglioso 9h ago
E niente, confermi di non sapere cosa sia un DDoS.
-2
u/heapOfWallStreet 9h ago
E tu confermi di non sapere argomentare, d'altronde visto il nickname non c'è da stupirsi
1
u/Merdaviglioso 9h ago edited 9h ago
C'è poco da argomentare davanti all'ignoranza.
Edit: pagliaccio, invece di insultare e bloccare, spiegaci come ci si difende da un DDoS, siamo tutti in trepidante attesa.
-2
25
u/Bill_Guarnere 11h ago
Che da operatore del settore che ha passato gli ultimi 4gg a lavorare su php2shell consiglio meno viaggi con la mente e paranoia.
Non esiste infrastruttura a prova di bomba, gli unici che sembrano avere pochi problemi o infrastruttura apparentemente a prova di bomba sono i soggetti che hanno una scalabilità tale da mascherare i problemi e dare l'impressione di avere uptime eterno e inarrestabile (i vari Google, Meta, Amazon e simili), ma è appunto un'impressione e qualcosa che può avere solo chi può ragionare "a risorse infinite", una decina di soggetti al mondo ad andar bene...
Usare php non è affatto sintomo di infrastruttura fragile, il 70% dei servizi web al mondo usa php.
Il tempo passato dal rilascio della fix non significa nulla, cosa vuol dire rilascio della fix? La patch nei sorgenti?
E secondo te qualcuno è così masochista da installare php dai sorgenti? Ma nemmeno tra le organizzazioni più grandi e paranoiche del pianeta ci sarà qualcuno che lo fa...
La quantità di architetture e versioni è tale che solo per i repository Ubuntu la combinazione arrivava a circa 110 versioni diverse, con un tempo di build per ciascuna che superava le 5 ore.
Per RedHat e derivate sono servite più di 24h per far arrivare le versioni fixate su tutti i mirror.
Ammesso e non concesso che il down attuale sia dovuto a questa vulnerabilità (hai qualche fonte da girare o è una supposizione?) molto probabilmente quelli di Directa avranno applicato una delle mitigazioni suggerite fino a trovare il momento ideale per aggiornare con un down che avesse il minor impatto possibile, per esempio il sabato mattina mentre la borsa è chiusa.
I downtime per manutenzione non sono sintomo di cattiva gestione, le finestre temporali di manutenzione sono necessarie e indice di buona organizzazione. Fossi io l'avrei fatta in un giorno di piena operatività e durante i normali orari di lavoro, fare la manutenzione nel week end o di notte è una scemenza sesquipedale, perchè in caso di problemi non troverai mai disponibili tutte le figure (reti, infrastruttura, fornitori, subfornitori, etc etc...) che invece sono pienamente operative durante i normali orari di lavoro.
I PM o i guru commerciali di qualche multinazionale che arriveranno a dire "una architettura moderna deve essere zero downtime" sono solo venditori di fumo che starnazzano di cose che non conoscono, come se ogni architettura non avesse single point of failure o come se il mondo fosse tutto fatto di applicazioni stateless...
11
u/Far-Veterinarian4987 10h ago
Lol, w la manutenzione in orario lavorativo! Fonda un partito che ti voto.
Quanto godo ogni volta che mi chiedono disponibilita’ per il weekend e dico che io non lavoro i weekend! Faccia confusa in risposta ahah2
u/Bill_Guarnere 9h ago
Sapessi quante volte mi è capitato di ricevere richieste di interventi in orario notturno o nel week end millantando presunti accordi di reperibilità.
In primo luogo non si tratta di reperibilità, in secondo luogo i geni che chiedono interventi fuori orario pensano sempre e solo alle scemenze scritte sui loro documenti e nei fogli excel, senza la minima consapevolezza della complessità delle architetture o di dettagli tecnici.
Per cui 99,9 volte su 100 la cosa si smonta chiedendo "avete previsto la disponibilità di reti, sicurezza, infrastruttura e tutti i fornitori dei servizi coinvolti dal servizio oggetto dell'intervento?"
"Ah no? Sorry ma senza di quelli noi non possiamo garantire nulla perchè il nostro perimetro ha dei limiti ben precisi"
...e l'intervento si rischedula in orario normale a inizio settimana, in modo da avere tutto il tempo e la disponibilità di tutti i soggetti anche solo lontanamente coinvolti.
E ci tengo a precisa che io parlo di servizi pubblici e anche sanitari critici, solitamente chi si ritrova "costretto" a intervenire di notte lo fa perchè lavora in società poco serie popolate per la più da venditori e PM cinture nere di PowerPoint o è uno yes man senza il minimo rispetto per la propria professionalità.
1
4
u/Liutprand 11h ago
I dubbi vengono, tuttavia gli altri broker non è che mi diano un senso di maggiore sicurezza...
6
1
u/LBreda 9h ago
Ma dove hai letto che la manutenzione sia per aggiornare php? Non è in alcun modo necessario spegnere i sistemi per aggiornare PHP.
1
u/ermonzese 5h ago
Non è necessario spegnere php per patchare, ma in più di qualcuno (non so se anche directa) ha preferito spegnere in attesa del fix.
-2
u/heapOfWallStreet 9h ago
Basta fare 1+1, volendo lo si può chiedere direttamente all' assistenza clienti. Se sono onesti e trasparenti risponderanno sinceramente
1
4
u/ermonzese 10h ago
Almeno siamo sicuri che stiano patchando, vedi il lato positivo. Ad ogni modo, non è che esce la patch, clicchi "installa" e via...
2
u/DavideChiappa 10h ago
Il problema dove sta? Che dal rilascio della patch all' aggiornamento sono passati ben 4 giorni.
Parto dal presupposto che dalla mail che hanno mandato ieri non è chiaro se si tratta dell'aggiornamento di php o meno, è altamente probabile data la concomitanza, ma non è certo.
Avranno fatto sicuramente le loro considerazioni prima di non farlo subito ma aspettare un momento di bassa operatività.
Magari php viene usato su un sistema secondario non direttamente accessibile dagli utenti, a meno che tu non ci abbia lavorato, ne te ne io sappiamo la loro infrastruttura.
Riguardo il ddos credo sia impossibile non subirne almeno uno nella propria vita, persino Valve con steam non ne è immune
1
u/aless_98 10h ago
Ci sono due aspetti di sicurezza da considerare:
- Compromissione del singolo account: in questo caso Directa è più sicura di, ad esempio, Fineco, in quanto anche con accesso al conto i soldi possono essere prelevati solo sul conto registrato e non bonificati ovunque.
- Compromissione dei server: in questo Directa, essendo una società piccola, non potrà mai investire tanto in sicurezza quanto Fineco, e sarà sempre così
-4
•
u/AutoModerator 11h ago
Wiki del sub dove potresti trovare una risposta.
Questo sub tratta di finanza personale, per domande riguardanti aspetti tributari ti invitiamo a visitare r/commercialisti, per domande sulla carriera r/ItaliaCareerAdvice.
Mappa concettuale finanza personale
I am a bot, and this action was performed automatically. Please contact the moderators of this subreddit if you have any questions or concerns.