A PHP fejlesztők nyilvánosságra hozták a tegnap javított kritikus sebezhetőségekkel kapcsolatos problémák jelentését. Az elérhető memória kimerülésével kapcsolatos sebezhetőség információit egy külső audit során 2024-ben gyűjtötték be, de ezt csak elméleti támadási lehetőségnek tekintették. A javítás késlekedett, mert a PHP fejlesztők között nem tudtak konszenzusra jutni a sebezhetőség kezelésének módjáról. Több versengő javaslat is felmerült, mindegyik saját hátrányával. Dönteni kellett a visszafelé kompatibilitás megsértése, új támadási vektorok megjelenése, amelyek szolgáltatásmegtagadást okoznak, és számos harmadik fél kiegészítő módosításának szükségessége között.
Néhány hónappal ezelőtt a Calif és a Wiz függetlenül, az AI modellek, a GPT‑5.6 és a Gemini 4 Argon segítségével feltárták a probléma kihasználásának működő módszereit, és 2026. augusztus 11-én és 24-én értesítették a PHP fejlesztőit. Ezt követően a javítások fejlesztése a legmagasabb prioritást kapott, és megkezdődött a döntéshozatali folyamat reformja a bonyolult kompromisszumokkal kapcsolatos ügyek gyorsabb kezelésére (az ilyen döntéseket most már többségi szavazással is el lehet fogadni, anélkül hogy szigorú konszenzusra lenne szükség).
Eredetileg a javítások kiadásának koordinációja a disztribúciókkal október 22-re volt tervezve, de ezt követően átpakolták október 21-re, miután október 20-án az interneten kiszivárgott információk érkeztek a CVE-azonosítókról és a közelgő javítási kiadások publikálási idejéről.
Néhány héttel a közelgő javítások bejelentése után a Calif, amely egyik sebezhetőséget tárta fel, véletlenül közzétett egy videót, amely bemutatja az exploit működését, így láthatóvá váltak néhány részlet, amely szűkíti a probléma információs területe és reprodukciós lehetőségeit. A videót gyorsan eltávolították, ami csak növelte a kutatók kíváncsiságát a sebezhetőség mibenlétéről és felgyorsította az alternatív exploit prototípusok kidolgozását.
Emellett, hat órával a kijelölt kiadás előtt a Chainguard megsértette az embargót és közzétette a disztribúciójának olyan verzióit, amelyek tartalmazták a javított PHP-t. Ez a megszegés lehetőséget adott a rosszindulatú szereplőknek, hogy tanulmányozzák a javítást a hivatalos megjelenés előtt, valamint tönkretette az információk koordinált nyilvánosságra hozatalára és a javítások egyidejű közzétételére irányuló munkát különböző disztribúciókban.
Kiegészítés: Tizenhat órával az univerzális munkakörnyezet sebezhetőségeiről szóló részletek nyilvánosságra hozatala után még nem jelentek meg tömeges támadások, ami azzal magyarázható, hogy a sebezhetőség kihasználása bonyolult a folyamat memória struktúrájának elrendezése miatt, amely minden kiadásnál specifikus. A nyilvánosságra hozott működő exploit prototípusok különböző konfigurációkra építenek és laboratóriumi körülmények között történő támadásra irányulnak. Számos hamis exploit is megjelent, amelyek mesterséges intelligencia hallucinációi, csak a támadás látszatát keltve, és a konfigurációs hibákra vagy más kritikus sebezhetőségekre épülnek.
Forrás: opennet.ru
