PHP-udviklerne har offentliggjort en rapport om de problemer, der opstod under arbejdet med at udbedre de kritiske sårbarheder i PHP, som blev løst i går. Oplysninger om sårbarheden, der opstår ved udtømning af tilgængelig hukommelse, blev indhentet under en ekstern revision allerede i 2024, men blev kun betragtet som en teoretisk mulighed for angreb. Udbedringen blev forsinket på grund af problemer med at opnå enighed blandt PHP-udviklerne om, hvordan sårbarheden skulle løses. Flere konkurrerende løsningsforslag blev overvejet, som hver især havde deres ulemper. Der måtte vælges mellem at bryde bagudkompatibiliteten, muligheden for nye angrebsvektorer, der kunne forårsage serviceafbrydelser, og nødvendigheden af at foretage ændringer i mange tredjepartsudvidelser.
For flere måneder siden opdagede virksomhederne Calif og Wiz uafhængigt af hinanden ved hjælp af AI-modellerne GPT‑5.6 og Gemini 4 Argon funktionsdygtige metoder til at udnytte problemet og informerede PHP-udviklerne om dette den 11. og 24. august 2026. Herefter blev arbejdet med at udvikle rettelser sat i højeste prioritet, og der blev indledt en reform af beslutningsprocessen for mere effektivt at reagere på spørgsmål, der involverer komplekse kompromiser (sådanne beslutninger kan nu træffes ved simpelt flertal uden strengt at skulle opnå enighed).
Oprindeligt blev offentliggørelsesdatoen for rettelserne, som var koordineret med distributionerne, fastsat til den 22. oktober, men blev derefter flyttet til den 21. oktober efter et læk af oplysninger om CVE-identifikatorer og ukorrekte data om offentliggørelsestidspunktet for de kommende korrigerende udgivelser, der blev delt på sociale medier den 20. oktober.
Kort efter annoncen om de kommende rettelser offentliggjorde Calif, som havde opdaget en af sårbarhederne, ved en fejl en video, der viste, hvordan exploit fungerede, og i hvilken nogle detaljer kunne ses, der gjorde det muligt at indsnævre området for søgning og rekonstruktion af oplysninger om problemet. Videoen blev hurtigt fjernet, hvilket kun øgede forskernes iver efter at finde ud af sårbarhedens kerne og fremskyndede arbejdet med alternative prototyper af exploits.
Derudover brød Chainguard embargoen seks timer før den planlagte offentliggørelse af rettelserne og offentliggjorde versioner af deres distribution, der indeholdt den rettede version af PHP. Denne overtrædelse gav angribere mulighed for at studere rettelsen før den officielle udgivelse og underminerede hele arbejdet med koordineret informationsdeling og samtidig offentliggørelse af rettelser på tværs af forskellige distributioner.
Supplerende bemærkning: 16 timer efter offentliggørelsen af detaljer om sårbarhederne i den universelle arbejdsexploit er der endnu ikke dukket massangreb op, hvilket skyldes kompleksiteten ved at udnytte sårbarheden på grund af behovet for at bestemme layoutet af strukturer i processens hukommelse, som er specifik for hver version. De offentliggjorte funktionsdygtige prototyper af exploits er bundet til specifikke konfigurationer og til udførelse af angreb under laboratoriebetingelser. Der er også dukket mange falske exploits op, som er AI-hallucinationer, der kun skaber en illusion af angreb, bundet til konfigurationsfejl eller som kun fungerer i nærvær af andre kritiske sårbarheder.
Kilde: opennet.ru
