6 postów z tagiem "Open Source"

21 października 2026 PHP wydał awaryjne poprawki dwóch krytycznych luk, nazwanych zbiorczo PHP2Shell. Obie pozwalają przejąć serwer bez logowania, a siedzą w samym interpreterze, więc dotyczą WordPressa, sklepów i paneli tak samo jak każdej innej aplikacji w PHP. Dzień wcześniej internet żył zrzutami ekranu z wycieku: CVSS 10.0, „70% internetu”, jedna flaga w php.ini jako remedium. Panika miała rację co do wagi problemu i myliła się w większości szczegółów, które mówią, co właściwie zrobić. Ten wpis rozdziela jedno od drugiego. Ciekawsza jest jednak druga warstwa: błąd ma ślady sprzed lat, a dopiero zespoły pracujące z modelami AI doprowadziły go do działającego ataku.

Ukończyłem LFD140 „GitHub for Open Standards Development" od The Linux Foundation. Kurs uczy, jak przenieść zasady grupy roboczej do repozytorium: kto zatwierdza zmianę normatywną, którą gałęzią idzie specyfikacja do ratyfikacji, gdzie zapisać sprzeciw i jak wymusić to ochroną gałęzi i CI. Ten model uważam za dobry i wart przeniesienia także poza fundacje open source. Przykładowe bramki GitHub Actions z materiałów kursu uruchomiłem jednak lokalnie, na odtworzonym checkoucie pull requesta. Z pięciu skryptów żaden nie działa poprawnie w podanej postaci. Dwie kontrole CHANGELOG przepuszczają zmianę w specyfikacji bez wpisu, dwie bramki blokują PR-y, które powinny przejść, a krok sprawdzający etykietę przechodzi zawsze. Próg „dwóch zatwierdzeń" liczy recenzje zamiast recenzentów. Poniżej opisuję, co z kursu warto wziąć, co w przykładach nie działa i jak wyglądają poprawione wersje.

Uruchomiłem NVIDIA garak, otwartoźródłowy skaner podatności modeli językowych, przeciwko Qwen3.8-27B INT4 z poprzednich wpisów. Garak dostał polecenie tłumaczenia ataków na polski. Probe promptinject zgłosił 0 udanych wstrzyknięć na 96 prób. Kiedy przejrzałem odpowiedzi ręcznie, wyszło 16 przypadków, w których model wypisał dokładnie to, co kazała mu wstrzyknięta instrukcja. Przyczyna leży w garak, nie w modelu: fraza, którą atak każe powtórzyć, jest w prompcie tłumaczona na polski, a wzorzec, którego szuka detektor, zostaje po angielsku. Zgłosiłem to jako błąd. Poprawka zaproponowana przez innego kontrybutora przechodzi swoje testy, ale na prawdziwym tłumaczeniu wykrywa 4 z tych 16 przypadków.

W automatyzacji testów samo "passing green" to tylko połowa sukcesu. Prawdziwym wyzwaniem jest visibility i redukcja czasu potrzebnego na debugowanie. W moim projekcie reads wdrożyłem zaawansowany system raportowania, który zamienia surowe logi w czytelną mapę drogową jakości. Zamiast analizować konsolę, dostajemy pełny wgląd w stan aplikacji w czasie rzeczywistym po każdym wdrożeniu.

Projekt reads ewoluuje. To już nie tylko proste narzędzie do zakładek, ale poligon doświadczalny dla nowoczesnych standardów dostarczania oprogramowania. Choć demo znajduje się obecnie w fazie koncepcyjnej (zarządzanie zakładkami i moduł logowania są w trakcie wdrażania), już teraz możesz zobaczyć, jak realizujemy podejście Automation First i Secure by Design w praktyce.

Sprawdź demo (Staging) ↗](https://reads-staging.baluarte.pl/)

W ramach wsparcia projektu open-source ESP32Marauder zająłem się analizą i przebudową mechanizmu zarządzania ustawieniami urządzenia. Choć z pozoru był to prosty element systemu, jego dotychczasowa implementacja skrywała poważny dług technologiczny, który negatywnie wpływał na działanie całego narzędzia. Postanowiłem to zmienić.