Die PHP-Entwickler haben einen Bericht über Probleme veröffentlicht, die bei der Behebung der gestern behobenen kritischen Sicherheitsanfälligkeiten in PHP aufgetreten sind. Die Informationen zu einer Sicherheitsanfälligkeit, die bei Erschöpfung des verfügbaren Speichers auftritt, wurden während eines externen Audits bereits im Jahr 2024 erhalten, jedoch nur als theoretische Möglichkeit eines Angriffs wahrgenommen. Die Behebung verzögerte sich aufgrund von Problemen, einen Konsens unter den PHP-Entwicklern über den Umgang mit der Sicherheitsanfälligkeit zu erreichen. Es wurden mehrere konkurrierende Lösungsvorschläge zur Problemlösung geprüft, von denen jeder seine eigenen Nachteile hatte. Es musste zwischen der Verletzung der Abwärtskompatibilität, dem Auftreten neuer Angriffsvektoren, die zu einem Denial-of-Service führen könnten, und der Notwendigkeit von Änderungen an zahlreichen Drittanbietererweiterungen gewählt werden.
Vor einigen Monaten identifizierten die Unternehmen Calif und Wiz unabhängig voneinander mit Hilfe der KI-Modelle GPT-5.6 und Gemini 4 Argon funktionierende Methoden zur Ausnutzung des Problems und informierten die PHP-Entwickler am 11. und 24. August 2026 darüber. Infolgedessen wurde der Entwicklung von Korrekturen die höchste Priorität zugewiesen und ein Reformprozess zur Entscheidungsfindung eingeleitet, um in Fragen, die komplexe Kompromisse betreffen, schneller reagieren zu können (solche Entscheidungen können nun mit einfacher Mehrheit getroffen werden, ohne dass ein strenger Konsens erreicht werden muss).
Ursprünglich wurde der Veröffentlichungstermin für die Korrektur, abgestimmt mit den Distributoren, auf den 22. Oktober festgelegt, wurde jedoch auf den 21. Oktober verschoben, nachdem am 20. Oktober in sozialen Netzwerken Informationen über CVE-IDs und fehlerhafte Angaben zum Zeitpunkt der Veröffentlichung bevorstehender Korrekturausgaben geleakt worden waren.
Kurz nach der Ankündigung der bevorstehenden Korrekturen veröffentlichte die Firma Calif, die eine der Sicherheitsanfälligkeiten identifiziert hatte, versehentlich ein Video, das die Funktionsweise des Exploits demonstrierte und einige Details enthielt, die es ermöglichen, den Suchbereich und die Wiederherstellung von Informationen über das Problem einzugrenzen. Das Video wurde schnell entfernt, was nur den Wunsch der Forscher verstärkte, der Sicherheitsanfälligkeit auf den Grund zu gehen, und die Arbeit an alternativen Exploit-Prototypen beschleunigte.
Darüber hinaus hat die Firma Chainguard sechs Stunden vor der geplanten Veröffentlichung der Korrekturen das Embargo verletzt und Versionen ihrer Distribution veröffentlicht, die die aktualisierte PHP-Version enthalten. Diese Verletzung gab Angreifern die Möglichkeit, die Korrektur vor der offiziellen Veröffentlichung zu analysieren und hat die gesamte Arbeit an einer koordinierten Offenlegung von Informationen und zeitgleichen Veröffentlichungen von Korrekturen in verschiedenen Distributionen zunichtegemacht.
Zusatz: Sechzehn Stunden nach der Offenlegung der Einzelheiten zu den Schwachstellen des universellen Exploits gab es noch immer keine massiven Angriffe. Dies lässt sich durch die Komplexität der Ausnutzung der Schwachstelle erklären, da es notwendig ist, die Strukturbelegung im Arbeitsspeicher des Prozesses zu bestimmen, die in jeder Version spezifisch ist. Die veröffentlichten funktionierenden Exploit-Prototypen sind an bestimmte Konfigurationen gebunden und zielen auf Angriffe in Laborbedingungen ab. Zudem sind viele gefälschte Exploits aufgetaucht, die AIs Halluzinationen sind und nur den Anschein eines Angriffs erwecken, der an Konfigurationsfehler gebunden ist oder nur bei Vorhandensein anderer kritischer Schwachstellen funktioniert.
Quelle: opennet.ru
