Les développeurs de PHP ont publié un rapport sur les problèmes rencontrés lors de la résolution des vulnérabilités critiques corrigées hier. Des informations sur une vulnérabilité causée par une saturation de la mémoire disponible ont été obtenues lors d'un audit externe en 2024, mais n'ont été perçues que comme une possibilité théorique d'attaque. La correction a été retardée en raison de problèmes de consensus parmi les développeurs de PHP concernant la manière de résoudre la vulnérabilité. Plusieurs propositions concurrentes ont été envisagées, chacune ayant ses inconvénients. Il a fallu choisir entre la rupture de la compatibilité ascendante, l'apparition de nouveaux vecteurs d'attaques entraînant des dénis de service, et la nécessité d'apporter des modifications à de nombreuses extensions tierces.
Il y a quelques mois, les entreprises Calif et Wiz ont indépendamment découvert des méthodes exploitable du problème à l'aide des modèles AI GPT‑5.6 et Gemini 4 Argon, et ont informé les développeurs de PHP le 11 et le 24 août 2026. Suite à cela, la priorité maximale a été donnée au développement de correctifs et une réforme du processus de prise de décision a été lancée pour une réaction plus rapide sur les questions impliquant des compromis complexes (de telles décisions peuvent désormais être prises à la majorité sans exigence de consensus strict).
À l'origine, la date de publication coordonnée des correctifs avec les distributions était fixée au 22 octobre, mais elle a ensuite été avancée au 21 octobre après qu'une fuite d'informations sur les identifiants CVE et des données incorrectes sur le calendrier de publication des futures versions correctives aient eu lieu sur les réseaux sociaux le 20 octobre.
Peu après l'annonce des correctifs à venir, l'entreprise Calif, ayant identifié l'une des vulnérabilités, a par erreur publié une vidéo démontrant le fonctionnement de l'exploit, dans laquelle certains détails étaient visibles, permettant de restreindre la recherche et la reconstitution des informations sur le problème. La vidéo a été rapidement supprimée, ce qui a seulement accru le désir des chercheurs d'explorer la vulnérabilité et a accéléré le travail sur des prototypes alternatifs d'exploits.
En outre, six heures avant la publication prévue des corrections, la société Chainguard a enfreint l'embargo et publié des builds de sa distribution contenant une version corrigée de PHP. Cette violation a permis aux malfaiteurs d'étudier la correction avant sa publication officielle, et a également compromis tout le travail de divulgation coordonnée et de publication simultanée des correctifs dans différentes distributions.
Addition : Seize heures après la divulgation des détails concernant les vulnérabilités de l'exploit universel, aucune attaque massive n'a encore été observée, ce qui s'explique par la complexité d'exploitation de la vulnérabilité due à la nécessité de déterminer la disposition des structures en mémoire du processus, qui est spécifique à chaque build. Les prototypes d'exploits publiés sont liés à des configurations spécifiques et à la réalisation d'attaques en laboratoire. De nombreux faux exploits ont également émergé, qui sont des hallucinations d'IA, créant seulement une illusion d'attaque, liées à des erreurs de configuration ou ne fonctionnant que en présence d'autres vulnérabilités critiques.
Source : opennet.ru
