PHP programeri objavili su izvješće u kojem detaljno opisuju probleme s kojima su se susreli prilikom ispravljanja kritičnih PHP ranjivosti koje su zakrpane jučer. Informacije o ranjivosti iscrpljivanja memorije otkrivene su tijekom vanjske revizije još 2024. godine, ali su se smatrale samo teoretskom površinom za napad. Ispravljanje zakrpe odgođeno je zbog poteškoća u postizanju konsenzusa među PHP programerima o rješenju. Razmotreno je nekoliko konkurentskih prijedloga za rješenje, svaki sa svojim nedostacima. Izbor je bio između kršenja unatrag kompatibilnosti, uvođenja novih vektora napada uskraćivanjem usluge i zahtijevanja promjena brojnih dodataka trećih strana.
Prije nekoliko mjeseci, Calif i Wiz su neovisno identificirali radne propuste koristeći GPT-5.6 i Gemini 4 Argon AI modele te ih prijavili PHP programerima 11. i 24. kolovoza 2026. Nakon toga, ispravci su određeni prioritetima i pokrenuta je reforma procesa donošenja odluka kako bi se brže riješili problemi koji uključuju složene kompromise (takve se odluke sada mogu donositi većinom glasova bez strogog konsenzusa).
Datum izlaska zakrpe, usklađen s distribucijama, isprva je bio postavljen na 22. listopada, ali je potom pomaknut na 21. listopada nakon curenja CVE identifikatora i netočnih vremena izlaska nadolazećih zakrpa na društvenim mrežama 20. listopada.
Ubrzo nakon najave nadolazećih zakrpa, tvrtka Calif koja je otkrila jednu od ranjivosti, greškom je objavila video koji demonstrira iskorištavanje u akciji. Video je otkrio nekoliko detalja koji su istraživačima omogućili da suze pretragu i rekonstruiraju problem. Video je brzo uklonjen, što je samo potaknulo istraživače da dođu do korijena ranjivosti i ubrzalo njihov rad na alternativnim prototipovima iskorištavanja.
Nadalje, šest sati prije planiranog izdavanja zakrpa, Chainguard je prekršio embargo i objavio verzije svoje distribucije koje sadrže zakrpanu verziju PHP-a. Ovo kršenje omogućilo je napadačima da prouče zakrpu prije njezina službenog izdanja, a također je potkopalo sve napore za koordinaciju otkrivanja informacija i istovremenog izdavanja zakrpa na više distribucija.
Ažuriranje: 16 sati nakon otkrivanja detalja ranjivosti, univerzalni radni exploit još se nije pojavio, a nisu uočeni ni rašireni napadi. To se objašnjava teškoćom iskorištavanja ranjivosti zbog potrebe za određivanjem rasporeda memorije procesa, koji je specifičan za svaku verziju. Objavljeni radni prototipovi exploita oslanjaju se na specifične konfiguracije i napade temeljene na laboratoriju. Pojavili su se i brojni fiktivni exploiti, koji su AI halucinacije koje samo stvaraju privid napada, oslanjaju se na pogreške u konfiguraciji ili rade samo u prisutnosti drugih kritičnih ranjivosti.
Izvor: opennet.ru
