Overtrædelse af embargoer og forsinkelse af udviklingen af patches under udbedring af sårbarheder i PHP

PHP-udviklerne har offentliggjort en rapport om de problemer, der opstod under løsningen af de kritiske sårbarheder, der blev rettet i går. Oplysninger om en sårbarhed, der opstår ved udtømning af tilgængelig hukommelse, blev indhentet under en ekstern revision allerede i 2024, men blev kun opfattet som en teoretisk risiko for angreb. Løsningen blev forsinket på grund af problemer med at opnå konsensus blandt PHP-udviklerne om, hvordan sårbarheden skulle rettes. Flere konkurrerende forslag til at løse problemet blev overvejet, hver med sine ulemper. Der måtte vælges mellem at bryde bagudkompatibilitet, skabe nye angrebsvektorer, der fører til tjenestenægtelse, og nødvendigheden af ændringer i mange tredjeparts tilføjelser.

For flere måneder siden opdagede virksomhederne Calif og Wiz uafhængigt af hinanden ved hjælp af AI-modellerne GPT‑5.6 og Gemini 4 Argon arbejdsmetoder til at udnytte problemet og informerede udviklerne af PHP den 11. og 24. august 2026. Efter dette blev udvikling af rettelser tildelt højeste prioritet, og reformen af beslutningsprocessen blev påbegyndt for at reagere hurtigere på spørgsmål relateret til komplekse kompromiser (sådanne beslutninger kan nu træffes med flertalsstemmer uden strengt krav om konsensus).

I første omgang blev udgivelsesdatoen for rettelsen, koordineret med distributionerne, fastlagt til den 22. oktober, men den blev senere flyttet til den 21. oktober efter en lækage den 20. oktober på sociale medier om CVE-identifikatorer og ukorrekte oplysninger om tidspunktet for udgivelsen af de kommende rettende udgivelser.

Kort efter annonceringen af de kommende rettelser offentliggjorde Calif, som havde opdaget en af sårbarhederne, ved en fejl en video, der viste, hvordan exploit'en fungerede, hvori nogle detaljer kunne ses, der gjorde det muligt at indsnævre søgningen og genskabe oplysninger om problemet. Videoen blev hurtigt fjernet, hvilket blot tilskyndede forskere til at grave dybere i sårbarheden og fremskynde arbejdet med alternative prototyper af exploits.

Udover dette brød Chainguard embargoen seks timer før den planlagte offentliggørelse af rettelserne og offentliggjorde versioner af sin distribution, der indeholdt den rettede version af PHP. Sådan en overtrædelse gav skurke mulighed for at studere rettelsen før den officielle offentliggørelse og underminerede hele arbejdet med koordineret informationsafsløring og samtidig offentliggørelse af rettelser i forskellige distributioner.

Tilføjelse: 16 timer efter afsløringen af detaljer om sårbarhederne er der stadig ikke registreret nogen masseangreb, hvilket kan forklares med sværhedsgraden ved at udnytte sårbarheden på grund af nødvendigheden af at bestemme minnestrukturens layout, som er specifikt for hver version. De offentliggjorte fungerende prototype-udnyttelser er bundet til specifikke konfigurationer og kræver angreb under laboratorieforhold. Desuden er der opstået mange falske udnyttelser, der er AI-hallucinationer, som kun skaber en illusion af et angreb knyttet til konfigurationsfejl eller fungerer kun i nærvær af andre kritiske sårbarheder.

Kilde: opennet.ru