Gli sviluppatori di PHP hanno pubblicato un rapporto sui problemi riscontrati durante la risoluzione delle vulnerabilità critiche corrette ieri in PHP. Le informazioni riguardanti la vulnerabilità che si verifica quando la memoria disponibile si esaurisce sono state ottenute durante una revisione esterna già nel 2024, ma sono state percepite solo come una possibilità teorica di attacco. La correzione è stata ritardata a causa di problemi nel raggiungere un consenso tra gli sviluppatori di PHP su come risolvere la vulnerabilità. Sono state considerate diverse proposte in competizione per affrontare il problema, ognuna delle quali aveva i suoi svantaggi. È stato necessario scegliere tra la violazione della retrocompatibilità, l'emergere di nuovi vettori per attacchi che causano denial of service e la necessità di apportare modifiche a molti plugin di terze parti.
Qualche mese fa, le aziende Calif e Wiz hanno identificato, in modo indipendente, metodi di sfruttamento del problema utilizzando i modelli AI GPT-5.6 e Gemini 4 Argon e hanno informato gli sviluppatori di PHP il 11 e il 24 agosto 2026. Dopo questo, la priorità per lo sviluppo delle correzioni è stata elevata al massimo e è iniziata una riforma del processo decisionale per una risposta più rapida alle questioni relative a compromessi complessi (queste decisioni possono ora essere prese a maggioranza senza la necessità di un consenso rigoroso).
Inizialmente, la data di pubblicazione della correzione, coordinata con le distribuzioni, era fissata per il 22 ottobre, ma poi è stata posticipata al 21 ottobre dopo che sono trapelate il 20 ottobre sui social network informazioni sui identificatori CVE e dati errati sul momento della pubblicazione delle prossime versioni correttive.
Poco dopo l'annuncio delle correzioni imminenti, la Calif, che aveva identificato una delle vulnerabilità, ha erroneamente pubblicato un video che mostrava il funzionamento dell'exploit, nel quale erano visibili alcuni dettagli che permettevano di restringere il campo di ricerca e ricreare informazioni sul problema. Il video è stato rapidamente rimosso, il che ha solo stimolato la curiosità dei ricercatori di indagare a fondo sulla vulnerabilità e ha accelerato il lavoro su prototipi alternativi di exploit.
Inoltre, sei ore prima della pubblicazione prevista delle correzioni, l'azienda Chainguard ha violato l'embargo e ha pubblicato le versioni della propria distribuzione contenenti la versione corretta di PHP. Questa violazione ha permesso agli aggressori di esaminare la correzione prima del rilascio ufficiale e ha vanificato tutto il lavoro di coordinamento per la divulgazione delle informazioni e la pubblicazione simultanea delle correzioni in diverse distribuzioni.
Aggiornamento: Dopo 16 ore dalla divulgazione dei dettagli sulle vulnerabilità di un exploit multifunzionale, non ci sono ancora stati attacchi su larga scala, il che è spiegato dalla complessità di sfruttare la vulnerabilità a causa della necessità di determinare la disposizione delle strutture nella memoria del processo, che è specifica per ogni versione. I prototipi funzionanti degli exploit pubblicati sono legati a configurazioni specifiche e all'esecuzione di attacchi in condizioni di laboratorio. Sono anche emersi molti exploit fasulli, che sono allucinazioni dell'AI, che creano solo l'illusione di un attacco, legati a errori di configurazione o funzionanti solo in presenza di altre vulnerabilità critiche.
Fonte: opennet.ru
