{"id":183958,"date":"2026-10-22T17:40:23","date_gmt":"2026-10-22T15:40:23","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/narusheniya-embargo-i-zatyagivanie-razrabotki-patchej-v-hode-ustraneniya-uyazvimostej-v-php"},"modified":"2026-10-22T17:40:28","modified_gmt":"2026-10-22T15:40:28","slug":"embargo-violations-and-patch-development-delays-in-php-vulnerability-remediation","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/embargo-violations-and-patch-development-delays-in-php-vulnerability-remediation","title":{"rendered":"Embargo rikkumised ja plaastrite arendamise viivitamine PHP haavatavuste k\u00f5rvaldamisel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
PHP arendajad avaldasid aruande probleemidest, mis tekkisid eile parandatud kriitiliste haavatavuste k\u00f5rvaldamise k\u00e4igus. Teave haavatavuse kohta, mis tekkis m\u00e4llu saadava m\u00e4lu ammendumise t\u00f5ttu, saadi v\u00e4list auditi k\u00e4igus juba 2024. aastal, kuid seda peeti vaid teoreetiliseks r\u00fcnnaku v\u00f5imaluseks. Parandamine viibis PHP arendajate vahelise konsensuse saavutamise probleemide t\u00f5ttu, kuidas haavatavust k\u00f5rvaldada. Arutati mitmeid konkurentsiv\u00f5imelisi ettepanekuid probleemi lahendamiseks, millest iga\u00fchel olid oma puudused. Tulemusena tuli valida tagasivaatava \u00fchilduvuse rikkumise, uute r\u00fcnnaku vektoreid p\u00f5hjustavate teenuse osutamise katkestuste tekkimise ja vajaduse vahel teha muudatusi paljude kolmandate osapoolte lisades. <\/p>\n
M\u00f5ned kuud tagasi tuvastasid ettev\u00f5tted Calif ja Wiz iseseisvalt AI mudelite GPT\u20115.6 ja Gemini 4 Argon abil t\u00f6\u00f6tavad meetodid probleemide \u00e4ra kasutamiseks ning teatasid sellest PHP arendajatele 11. ja 24. augustil 2026. P\u00e4rast seda m\u00e4\u00e4rati paranduste v\u00e4ljat\u00f6\u00f6tamisele k\u00f5rgeim prioriteet ja alustati otsustusprotsessi reformimist, et reageerida kiiremini keeruliste kompromisside k\u00fcsimustele (sellised otsused v\u00f5ivad n\u00fc\u00fcd olla enamuse h\u00e4\u00e4ltega vastu v\u00f5etud ilma rangelt konsensuse saavutamise vajaduseta).<\/p>\n
Algse koosk\u00f5lastatuna distributsioonidega oligi paranduse v\u00e4ljaandmise kuup\u00e4ev m\u00e4\u00e4ratud 22. oktoobrile, kuid see viidi edasi 21. oktoobrile p\u00e4rast 20. oktoobril sotsiaalmeedias CVE-identifikaatorite ja vale info lekke avaldamist tulevaste t\u00e4ienduste v\u00e4ljaandmise aja kohta. <\/p>\n
Peale l\u00e4hiajal v\u00e4lja kuulutatud paranduste teate Calif, kes avastas \u00fche haavatavuse, ekslikult avaldas video demonstreerimaks eksploitatsiooni t\u00f6\u00f6protsessi, kus olid n\u00e4htavad m\u00f5ned detailid, mis kitsendasid probleemi otsingu ja info taastamise piirkonda. Video eemaldati kiiresti, mis ainult viis uurijate soovi s\u00fcveneda haavatavuse olemusse ja kiirendas t\u00f6\u00f6tamist alternatiivsete eksploitatsiooni protot\u00fc\u00fcpide kallal. <\/p>\n
Lisaks sellele rikkus ettev\u00f5te Chainguard kuus tundi enne kavandatud paranduste avaldamist embargo ja avaldas oma distributsiooni kogumid, mis sisaldasid parandatud versiooni PHP-st. Selline rikkumine andis kurjategijatele v\u00f5imaluse uurida parandust enne ametlikku v\u00e4ljalaset ning rippis k\u00f5ik koordineeritud teabe avalikustamise ja paranduste samal ajal avaldamise t\u00f6\u00f6d erinevates distributsioonides.<\/p>\n
T\u00e4iendav teave: 16 tundi p\u00e4rast mingite haavatavuste detaile avaldamist pole universaalse t\u00f6\u00f6 eksploiti kohta veel suuremaid r\u00fcnnakuid toimunud, mis on seletatav haavatavuse keerukusega, kuna on vajalik m\u00e4\u00e4rata struktuuride paigutus protsessi m\u00e4lus, mis on iga versiooni jaoks spetsiifiline. Avaldatud t\u00f6\u00f6tavad eksploidi protot\u00fc\u00fcbid on seotud erikoodide seadistustega ja r\u00fcnnaku l\u00e4biviimisega laboratoorsetes tingimustes. Samuti on ilmunud palju valeeksploite, mis on AI hallutsinatsioonid, luues vaid r\u00fcnnaku illusiooni, mis on seotud konfiguratsioonivigadega v\u00f5i mis t\u00f6\u00f6tavad ainult teiste kriitiliste haavatavuste olemasolu korral. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"