Embarģa pārkāpumi un lēna ielāpu izstrāde, novēršot PHP ievainojamības

PHP izstrādātāji publicējuši ziņojumu par problēmām, kas radušās, novēršot vakar novērstās kritiskās ievainojamības PHP. Informācija par ievainojamību, kas rodas, izsmejot pieejamo atmiņu, tika iegūta ārējā auditā vēl 2024. gadā, taču tika uztverta tikai kā teorētiska uzbrukuma iespēja. Novēršanai bija nepieciešams ilgs laiks sakarā ar problēmām, kas radās PHP izstrādātāju vidū par veidu, kā novērst ievainojamību. Tika apspriesti vairāki konkurējoši risinājumi, no kuriem katram bija savi trūkumi. Bija nepieciešams izvēlēties starp atpakaļsavietojamības pārkāpšanu, jaunu uzbrukuma vektoru rašanos, kas izraisa pakalpojumu atteikumu, un nepieciešamību veikt izmaiņas daudzos trešo pušu papildinājumos.

Pirms vairākiem mēnešiem uzņēmumi Calif un Wiz neatkarīgi viens no otra ar AI modeļiem GPT‑5.6 un Gemini 4 Argon identificēja funkcionālus veidus, kā izmantot šo problēmu, un 2026. gada 11. un 24. augustā informēja PHP izstrādātājus. Pēc tam izstrādes labojumiem tika piešķirts visaugstākais prioritātes līmenis un uzsākta lēmumu pieņemšanas procesa reforma, lai ātrāk reaģētu uz sarežģītiem kompromisumiem (šādi lēmumi tagad var tikt pieņemti ar balsu vairākumu bez striktu konsensu sasniegšanas).

Sākotnēji, saskaņojot ar izplatīšanas datiem, labojumu publicēšanas datums bija noteikts uz 22. oktobri, taču pēc tam tas tika pārcelts uz 21. oktobri pēc tam, kad 20. oktobrī sociālajos tīklos izplatījās informācija par CVE identifikatoriem un nepareizajiem datiem par gaidāmo labojumu publicēšanas laiku.

Drīz pēc gaidāmo labojumu paziņojuma uzņēmumā Calif, kas atklāja vienu no ievainojamībām, kļūdaini publicēja video, kurā tika demonstrēta eksploitācijas darbība, kurā bija pamanāmas dažas detaļas, kas ļāva samazināt informācijas meklēšanas un atkārtošanas jomu. Video tika ātri izdzēsts, kas tikai motivēja pētniekus dziļāk izpētīt ievainojamību un paātrināja alternatīvo eksploitācijas prototipu izstrādi.

Papildus tam, sešas stundas pirms plānotā labojumu publicēšanas, uzņēmums Chainguard pārkāpa embargo un publicēja savu izplatījumu versijas, kas saturēja laboto PHP versiju. Šāds pārkāpums ļāva ļaunprātīgiem lietotājiem iepazīties ar labojumu pirms oficiālā izlaišanas, kā arī iznīcināja visu darbu par saskaņotu informācijas atklāšanu un vienlaicīgu labojumu publicēšanu dažādos izplatījumos.

Pielikums: Pusotru stundu pēc informācijas atklāšanas par universālā darba eksploitācijas ievainojamības detaļām vēl nav novērotas masveida uzbrukumi, ko izskaidro ievainojamības sarežģītība tās izmantošanā, jo ir nepieciešams noteikt struktūru izkārtojumu procesa atmiņā, kas ir specifisks katrai versijai. Publiskotie darbspējīgie eksploitācijas prototipi ir saistīti ar konkrētām konfigurācijām un uzbrukuma veikšanu laboratorijas apstākļos. Tāpat parādījušies daudzi viltus eksploitācijas, kas ir AI halucinācijas, kas tikai rada uzbrukuma izskatu, balstoties uz konfigurācijas kļūdām vai strādājot tikai klātbūtnē citu kritisku ievainojamību.

Avots: opennet.lv