{"id":183958,"date":"2026-10-22T17:40:23","date_gmt":"2026-10-22T15:40:23","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/narusheniya-embargo-i-zatyagivanie-razrabotki-patchej-v-hode-ustraneniya-uyazvimostej-v-php"},"modified":"2026-10-22T17:40:28","modified_gmt":"2026-10-22T15:40:28","slug":"embargo-violations-and-patch-development-delays-in-php-vulnerability-remediation","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/embargo-violations-and-patch-development-delays-in-php-vulnerability-remediation","title":{"rendered":"Overtr\u00e6delse af embargoer og forsinkelse af udviklingen af patches under udbedring af s\u00e5rbarheder i PHP","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
PHP-udviklerne har offentliggjort en rapport om de problemer, der opstod under l\u00f8sningen af de kritiske s\u00e5rbarheder, der blev rettet i g\u00e5r. Oplysninger om en s\u00e5rbarhed, der opst\u00e5r ved udt\u00f8mning af tilg\u00e6ngelig hukommelse, blev indhentet under en ekstern revision allerede i 2024, men blev kun opfattet som en teoretisk risiko for angreb. L\u00f8sningen blev forsinket p\u00e5 grund af problemer med at opn\u00e5 konsensus blandt PHP-udviklerne om, hvordan s\u00e5rbarheden skulle rettes. Flere konkurrerende forslag til at l\u00f8se problemet blev overvejet, hver med sine ulemper. Der m\u00e5tte v\u00e6lges mellem at bryde bagudkompatibilitet, skabe nye angrebsvektorer, der f\u00f8rer til tjenesten\u00e6gtelse, og n\u00f8dvendigheden af \u00e6ndringer i mange tredjeparts tilf\u00f8jelser. <\/p>\n
For flere m\u00e5neder siden identificerede virksomhederne Calif og Wiz uafh\u00e6ngigt af hinanden ved hj\u00e6lp af AI-modellerne GPT-5.6 og Gemini 4 Argon effektive metoder til at udnytte problemet og informerede PHP-udviklerne den 11. og 24. august 2026. Efter dette blev udviklingen af rettelser prioriteret h\u00f8jt, og der blev indledt en reformering af beslutningsprocessen for mere hurtig respons p\u00e5 sp\u00f8rgsm\u00e5l relateret til komplekse kompromisser (s\u00e5danne beslutninger kan nu tr\u00e6ffes med flertal uden behov for at opn\u00e5 streng konsensus).<\/p>\n
I f\u00f8rste omgang blev udgivelsesdatoen for rettelsen, koordineret med distributionerne, fastlagt til den 22. oktober, men den blev senere flyttet til den 21. oktober efter en l\u00e6kage den 20. oktober p\u00e5 sociale medier om CVE-identifikatorer og ukorrekte oplysninger om tidspunktet for udgivelsen af de kommende rettende udgivelser. <\/p>\n
Kort efter annonceringen af de kommende rettelser offentliggjorde Calif, som havde opdaget en af s\u00e5rbarhederne, ved en fejl en video, der viste, hvordan exploit'en fungerede, hvori nogle detaljer kunne ses, der gjorde det muligt at indsn\u00e6vre s\u00f8gningen og genskabe oplysninger om problemet. Videoen blev hurtigt fjernet, hvilket blot tilskyndede forskere til at grave dybere i s\u00e5rbarheden og fremskynde arbejdet med alternative prototyper af exploits. <\/p>\n
Udover dette br\u00f8d Chainguard embargoen seks timer f\u00f8r den planlagte offentligg\u00f8relse af rettelserne og offentliggjorde versioner af sin distribution, der indeholdt den rettede version af PHP. S\u00e5dan en overtr\u00e6delse gav skurke mulighed for at studere rettelsen f\u00f8r den officielle offentligg\u00f8relse og underminerede hele arbejdet med koordineret informationsafsl\u00f8ring og samtidig offentligg\u00f8relse af rettelser i forskellige distributioner.<\/p>\n
Tilf\u00f8jelse: 16 timer efter afsl\u00f8ringen af detaljer om s\u00e5rbarhederne er der stadig ikke registreret nogen masseangreb, hvilket kan forklares med sv\u00e6rhedsgraden ved at udnytte s\u00e5rbarheden p\u00e5 grund af n\u00f8dvendigheden af at bestemme minnestrukturens layout, som er specifikt for hver version. De offentliggjorte fungerende prototype-udnyttelser er bundet til specifikke konfigurationer og kr\u00e6ver angreb under laboratorieforhold. Desuden er der opst\u00e5et mange falske udnyttelser, der er AI-hallucinationer, som kun skaber en illusion af et angreb knyttet til konfigurationsfejl eller fungerer kun i n\u00e6rv\u00e6r af andre kritiske s\u00e5rbarheder. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"