Да-да, все так и есть.
И я, честно говоря, не совсем понимаю, как запрет websockets в браузерах исправит «core issue is that some number of transparent proxies do not understand the HTTP Upgrade mechanism and therefore don't understand that the remaining bytes sent by the attacker on the socket are not HTTP.»
Т.е. это не уязвимость протокола websockets, а уязвимость существующих проксей.
И тем 8 пользователям, которых поимели, подсунув зловредный жаваскрипт, отключение вебсокетов никак не поможет.

У меня даже в голове не укладывается, как можно быть такими идиотами…