Los desarrolladores de PHP publicaron un informe sobre los problemas surgidos durante la corrección de las vulnerabilidades críticas que se abordaron ayer en PHP. La información sobre la vulnerabilidad que surge al agotarse la memoria disponible fue obtenida en un auditoría externa en 2024, pero se consideró solo como una posibilidad teórica de ataque. La corrección se retrasó debido a problemas para alcanzar un consenso entre los desarrolladores de PHP sobre la forma de abordar la vulnerabilidad. Se consideraron varias propuestas competidoras para resolver el problema, cada una con sus desventajas. Se tenía que elegir entre romper la retrocompatibilidad, la aparición de nuevos vectores para ataques que causen denegación de servicio, y la necesidad de modificar numerosos complementos de terceros.
Hace varios meses, las empresas Calif y Wiz, de manera independiente, utilizaron modelos de IA GPT‑5.6 y Gemini 4 Argon para identificar métodos efectivos de explotación del problema y, el 11 y 24 de agosto de 2026, informaron a los desarrolladores de PHP al respecto. Tras esto, se dio la más alta prioridad al desarrollo de correcciones y se inició una reforma en el proceso de toma de decisiones para responder de manera más ágil a los temas relacionados con compromisos complejos (ahora se pueden tomar decisiones por mayoría sin necesidad de alcanzar un estricto consenso).
Inicialmente, la fecha de publicación del arreglo coordinada con las distribuciones estaba prevista para el 22 de octubre, pero luego se trasladó al 21 de octubre después de que el 20 de octubre se filtraron en las redes sociales detalles sobre los identificadores CVE y datos incorrectos sobre el momento de publicación de los próximos lanzamientos de corrección.
Poco después del anuncio de los próximos arreglos, la empresa Calif, que identificó una de las vulnerabilidades, publicó accidentalmente un video demostrando la explotación, en el que se podían notar algunos detalles que permitían acotar la búsqueda y recrear la información sobre el problema. El video fue rápidamente eliminado, lo que solo impulsó a los investigadores a profundizar en la esencia de la vulnerabilidad y aceleró el trabajo en prototipos alternativos de exploits.
Además, seis horas antes de la publicación prevista de las correcciones, la empresa Chainguard rompió el embargo y publicó versiones de su distribución que contenían la versión corregida de PHP. Esta violación permitió a los atacantes estudiar la corrección antes del lanzamiento oficial, además de socavar todo el trabajo de divulgación coordinada y la publicación simultánea de correcciones en diferentes distribuciones.
Adición: A las 16 horas después de la divulgación de los detalles sobre las vulnerabilidades, aún no han surgido ataques masivos, lo que se explica por la dificultad en la explotación de la vulnerabilidad debido a la necesidad de determinar la disposición de las estructuras en la memoria del proceso, que es específica de cada versión. Los prototipos de exploits publicados dependen de configuraciones específicas y se realizan en condiciones de laboratorio. También han aparecido muchos exploits falsos, que son alucinaciones de IA, que solo crean la apariencia de un ataque, ligados a errores en la configuración o que solo funcionan en presencia de otras vulnerabilidades críticas.
Fuente: opennet.ru
