De PHP-ontwikkelaars hebben een rapport gepubliceerd over de problemen die zijn ontstaan bij het oplossen van de gisteren verholpen kritieke kwetsbaarheden in PHP. Informatie over de kwetsbaarheid die ontstaat bij het opraken van beschikbare geheugen, werd in 2024 tijdens een externe audit verkregen, maar werd aanvankelijk alleen gezien als een theoretische mogelijke aanval. De oplossing duurde langer vanwege problemen met het bereiken van consensus onder de PHP-ontwikkelaars over hoe de kwetsbaarheid moest worden verholpen. Er werden verschillende concurrerende oplossingen overwogen, elk met hun eigen nadelen. Er moest een keuze worden gemaakt tussen het schenden van de achterwaartse compatibiliteit, het creƫren van nieuwe aanvalsvectoren die tot een denial of service zouden leiden, en de noodzaak om wijzigingen aan te brengen in tal van externe aanvullingen.
Enkele maanden geleden hebben de bedrijven Calif en Wiz onafhankelijk van elkaar met behulp van AI-modellen GPTā5.6 en Gemini 4 Argon werkende methoden voor de exploitatie van het probleem geĆÆdentificeerd en hebben zij op 11 en 24 augustus 2026 hierover de PHP-ontwikkelaars geĆÆnformeerd. Na dit bericht kreeg de ontwikkeling van de oplossingen de hoogste prioriteit en werd het besluitvormingsproces hervormd voor snellere reacties op kwesties die verband hielden met complexe compromissen (dergelijke beslissingen kunnen nu met een meerderheid van stemmen worden genomen zonder de noodzaak van strikte consensus).
Aanvankelijk was de gecoƶrdineerde datum voor de publicatie van de oplossing vastgesteld op 22 oktober, maar deze werd later verplaatst naar 21 oktober na een lek op 20 oktober op sociale media over de CVE-identificaties en onnauwkeurige gegevens over de publicatietijden van de aanstaande corrigerende releases.
Kort na de aankondiging van de aanstaande oplossingen heeft het bedrijf Calif, dat een van de kwetsbaarheden had ontdekt, per ongeluk een video gepubliceerd die de werking van de exploit demonstreerde, waarin enkele details zichtbaar waren die het mogelijk maakten om het zoekgebied en de informatie over het probleem te verkleinen. De video werd snel verwijderd, wat de onderzoekers alleen maar aanmoedigde om de essentie van de kwetsbaarheid te achterhalen en de ontwikkeling van alternatieve prototype-exploits te versnellen.
Bovendien heeft Chainguard zes uur voor de geplande publicatie van de patches het embargo geschonden en builds van zijn distributie gepubliceerd, met daarin de gecorrigeerde versie van PHP. Dit soort schending gaf kwaadwillenden de mogelijkheid om de patch te bestuderen vĆ³Ć³r de officiĆ«le release en ondermijnde het hele werk rond gecoƶrdineerde openbaarmaking van informatie en gelijktijdige publicatie van patches in verschillende distributies.
Aanvulling: Zestien uur na de onthulling van de details over de kwetsbaarheden van de universele werk-exploit zijn er nog geen grootschalige aanvallen waargenomen, wat te wijten is aan de complexiteit van het exploiteren van de kwetsbaarheid vanwege de noodzaak om de geheugenlay-out van het proces te bepalen, die specifiek is voor elke build. De gepubliceerde werkprototypes van exploits zijn verbonden met specifieke configuraties en het uitvoeren van een aanval in laboratoriumomstandigheden. Ook zijn er veel valse exploits verschenen, die hallucinatied van AI zijn, en alleen de schijn van een aanval creƫren, gebaseerd op configuratiefouten of alleen werken in combinatie met andere kritieke kwetsbaarheden.
Bron: opennet.ru
