Vývojáři PHP zveřejnili zprávu o problémech, které vznikly během odstraňování opravených kritických zranitelností v PHP, k němuž došlo včera. Informace o zranitelnosti, jež vznikla vyčerpáním dostupné paměti, byla získána během externího auditu už v roce 2024, avšak byla vnímána pouze jako teoretická možnost útoku. Oprava se protáhla kvůli problémům s dosažením konsensu mezi vývojáři PHP ohledně způsobu odstranění zranitelnosti. Bylo zváženo několik konkurenčních návrhů na řešení problému, z nichž každý měl své nevýhody. Muselo se volit mezi porušením zpětné kompatibility, vznikem nových vektorů pro útoky, které vyvolávají odmítnutí služby, a nutností zavádět změny do mnoha externích rozšíření.
Před několika měsíci společnosti Calif a Wiz nezávisle na sobě pomocí AI modelů GPT‑5.6 a Gemini 4 Argon odhalily funkční metody exploatace problému a 11. a 24. srpna 2026 o tom informovaly vývojáře PHP. Následně byla vývoj opravy přiřazena nejvyšší priorita a zahájeno reformování rozhodovacího procesu pro rychlejší reakci na otázky týkající se složitých kompromisů (taková rozhodnutí mohou nyní být přijímána většinou hlasů bez nutnosti dosáhnout striktního konsensu).
Původně byla koordinačně s distribucemi stanovena publikace opravy na 22. října, ale poté byla přesunuta na 21. října po úniku informací o CVE identifikátorech a nesprávných údajích o čase publikace nadcházejících opravných vydání, které byly zveřejněny 20. října na sociálních sítích.
Krátce po oznámení o připravovaných opravách společnost Calif, která odhalila jednu ze zranitelností, omylem zveřejnila video ukazující funkčnost exploitu, v němž byly patrné určité detaily, které umožnily zúžit oblast hledání a rekonstrukce informací o problému. Video bylo rychle odstraněno, což pouze zvýšilo snahu výzkumníků proniknout do podstaty zranitelnosti a urychlilo práci na alternativních prototypech exploitů.
Kromě toho, šest hodin před plánovaným zveřejněním oprav porušila společnost Chainguard embargo a zveřejnila sestavení své distribuce obsahující opravenou verzi PHP. Toto porušení umožnilo útočníkům prozkoumat opravu před oficiálním vydáním a také zmařilo veškerou práci na koordinovaném zveřejnění informací a současném vydání oprav v různých distribucích.
Doplnění: Po 16 hodinách od zveřejnění podrobností o zranitelnostech univerzálního pracovního exploitu se ještě neobjevily rozsáhlé útoky, což se vysvětluje složitostí využití zranitelnosti kvůli nutnosti určení rozložení struktur v paměti procesu, které je specifické v každém sestavení. Publikované pracovní prototypy exploitů jsou vázány na konkrétní konfigurace a provedení útoku v laboratorních podmínkách. Také se objevilo mnoho falešných exploitů, které představují halucinace AI, pouze vytvářející dojem útoku, vázané na chyby v konfiguraci nebo fungující pouze za přítomnosti dalších kritických zranitelností.
Zdroj: opennet.ru
