Нарушения на ембаргото и забавяне на разработката на пачове по време на отстраняването на уязвимости в PHP

Разработчиците на PHP публикуваха доклад за проблемите, възникнали при разрешаването на критичните уязвимости, поправени вчера. Информацията за уязвимост, свързана с изчерпване на наличната памет, бе получена по време на външен одит още през 2024 година, но бе воспринята само като теоретична възможност за нападение. Поправката се забави поради проблеми с постигането на консенсус сред разработчиците на PHP относно начина на разрешаване на уязвимостта. Бяха разгледани няколко конкуриращи се предложения за решаване на проблема, всяко от които имаше свои недостатъци. Трябваше да се избира между нарушаване на обратната съвместимост, появата на нови вектори за атаки, предизвикващи отказ в обслужването, и необходимостта от правене на промени в множество външни допълнения.

Няколко месеца назад компаниите Calif и Wiz независимо една от друга, използвайки AI-моделите GPT‑5.6 и Gemini 4 Argon, установиха работещи методи за експлоатация на проблема и на 11 и 24 август 2026 година уведомиха разработчиците на PHP. След това разработването на поправки получи най-висок приоритет и бе започнато реформата на процеса на вземане на решения за по-бързо реагиране по въпросите, свързани със сложни компромиси (такива решения вече могат да се взимат с мнозинство без стриктно постигане на консенсус).

Първоначално, координирано с дистрибутивите, датата на публикуване на поправката бе определена за 22 октомври, но след това бе преместена на 21 октомври след изтичане на 20 октомври в социалните мрежи информация за CVE-идентификаторите и некоректни данни за времето на публикуване на предстоящите корективни версии.

Незабавно след анонса на предстоящите поправки, компанията Calif, открила една от уязвимостите, по грешка публикува видеозапис, демонстриращ работата на експлоита, в което бяха забележими някои детайли, позволяващи стесняване на областта на търсене и възстановяване на информацията за проблема. Видеото бързо бе изтрито, което само подстегна желанието на изследователите да се задълбочат в същността на уязвимостта и ускори работата върху алтернативни прототипи на експлоити.

Освен това, шест часа преди предвиденото публикуване на поправките, компанията Chainguard наруши ембаргото и публикува сборки на своя дистрибутив, съдържащи коригирана версия на PHP. Такова нарушение предостави на злоумишлениците възможност да изучат поправката преди официалното й пускане, а също така опроверга цялата работа по координираното разкриване на информация и едновременното публикуване на поправки в различни дистрибутиви.

Допълнение: След 16 часа от разкритията за уязвимостите на универсалния работен експлоит все още не се наблюдават масови атаки, каквито инциденти не са регистрирани, поради сложността на експлоатацията на уязвимостта, свързана с необходимостта от определяне на структурата на паметта в процеса, която е специфична за всяко изграждане. Публикуваните работни прототипи на експлоити са завързани за отделни конфигурации и провеждането на атаки при лабораторни условия. Освен това се появиха много фалшиви експлоити, които са илюзии на AI, които само създават илюзия за атака, основани на грешки в конфигурацията или работещи единствено при наличие на други критични уязвимости.

Източник: opennet.ru