Kršenje embarga i odgađanje razvoja zakrpa tokom rješavanja ranjivosti u PHP-u

PHP developeri objavili su izvještaj o problemima koji su nastali tijekom rješavanja jučer ispravljenih kritičnih ranjivosti u PHP-u. Informacija o ranjivosti koja se pojavila zbog iscrpljenja dostupne memorije dobivena je tijekom vanjskog audita 2024. godine, ali je prvotno shvaćena kao teoretska mogućnost napada. Ispravak je odgođen zbog problema postizanja konsenzusa među PHP developerima o načinu rješavanja ranjivosti. Razmatrane su nekoliko konkurentnih prijedloga o rješenju problema, od kojih je svaki imao svoje nedostatke. Trebalo je birati između kršenja unazadne kompatibilnosti, pojave novih vektora za napade koji izazivaju uskraćivanje usluga i potrebe za izmjenom niza dodataka trećih strana.

Prije nekoliko mjeseci, tvrtke Calif i Wiz neovisno su jedna o drugoj koristeći AI modele GPT‑5.6 i Gemini 4 Argon otkrile funkcionalne metode iskorištavanja problema i obavijestile programere PHP-a 11. i 24. kolovoza 2026. godine. Nakon toga, razvoju ispravaka dodijeljen je najviši prioritet i započeta je reforma procesa donošenja odluka radi bržeg reagiranja na pitanja koja se odnose na složene kompromise (takve odluke sada se mogu donositi većinom glasova bez strogog postizanja konsenzusa).

Izvorno, usklađeno s distribucijama, datum objave ispravka bio je zakazan za 22. listopada, ali je kasnije pomjeren na 21. listopada nakon curenja informacija o CVE identifikatorima i netočnih podataka o vremenu objavljivanja predstojećih korektivnih izdanja na društvenim mrežama 20. listopada.

Ubrzo nakon najave predstojećih ispravaka, tvrtka Calif, koja je otkrila jednu od ranjivosti, greškom je objavila video s demonstracijom rada eksploit, u kojem su se mogle primijetiti neke detalje koji omogućuju sužavanje pretraživanja i rekonstrukciju informacije o problemu. Video je brzo uklonjen, što je samo potaknulo istraživače da dublje istražuju suštinu ranjivosti i ubrzali rad na alternativnim prototipovima eksploitova.

Osim toga, šest sati prije planiranog objavljivanja ispravki, tvrtka Chainguard prekršila je embargo i objavila verzije svog distribucijskog paketa koje sadrže ispravljenu verziju PHP-a. Ovakvo kršenje omogućilo je napadačima da prouče ispravke prije službenog izdanja, a također je poništilo sav rad na koordiniranom otkrivanju informacija i istovremenom objavljivanju ispravki u različitim distribucijama.

Dopuna: Šesnaest sati nakon otkrivanja detalja o ranjivostima univerzalnog radnog eksploita, još nije došlo do masovnih napada, što se objašnjava složenošću iskorištavanja ranjivosti zbog potrebe za određivanjem rasporeda struktura u memoriji procesa, koji je specifičan za svaku verziju. Objavljeni radni prototipovi eksploita vezani su uz pojedinačne konfiguracije i izvođenje napada u laboratorijskim uvjetima. Također su se pojavile mnoge lažne eksploite, koje su halucinacije AI-a, koje samo stvaraju privid napada, zasnovane na greškama u konfiguraciji ili funkcioniraju samo uz prisutnost drugih kritičnih ranjivosti.

Izvor: opennet.ru