Brudd på embargo og forsinkelse av patch-utvikling under fjerning av sårbarheter i PHP

PHP-utviklerne har publisert en rapport om problemene som oppstod under fiksingen av de kritiske sårbarhetene i PHP som ble rettet opp i går. Informasjonen om sårbarheten som oppstår ved utmattelse av tilgjengelig minne ble innhentet under et eksternt revisjonsarbeid allerede i 2024, men ble kun oppfattet som en teoretisk mulighet for et angrep. Fiksen ble forsinket på grunn av problemer med å oppnå enighet blant PHP-utviklerne om hvordan sårbarheten skulle utbedres. Flere konkurrerende forslag til løsning ble vurdert, hver med sine ulemper. Man måtte velge mellom brudd på bakoverkompatibilitet, nye angrepsvektorer som kan føre til tjenestenekt, og behovet for endringer i mange tredjeparts tillegg.

For flere måneder siden identifiserte selskapene Calif og Wiz uavhengig av hverandre fungerende metoder for å utnytte problemet ved hjelp av AI-modellene GPT‑5.6 og Gemini 4 Argon, og informerte PHP-utviklerne 11. og 24. august 2026. Etter dette ble utviklingen av fiksene gitt høyeste prioritet, og prosessen for beslutningstaking ble reformert for å kunne reagere raskere på spørsmål som involverer vanskelige kompromisser (slike beslutninger kan nå tas med flertall uten strenge krav til enighet).

Opprinnelig ble datoen for publisering av fiksene koordinert med distribusjoner og satt til 22. oktober, men ble deretter flyttet til 21. oktober etter at informasjon om CVE-identifikatorene og ukorrekte data om tidspunktet for publisering av de kommende korrigeringsutgivelsene lekket på sosiale medier den 20. oktober.

Kort tid etter kunngjøringen om de kommende fiksene, publiserte selskapet Calif, som identifiserte en av sårbarhetene, ved en feil en video som demonstrerte hvordan eksploit fungerer, hvor enkelte detaljer var synlige, noe som gjorde det mulig å snevre inn søket og gjenskape informasjonen om problemet. Videoen ble raskt fjernet, noe som bare økte forskernes iver etter å finne ut av sårbarheten og fremskyndet arbeidet med alternative prototyper av eksploitene.

I tillegg, seks timer før den planlagte publiseringen av korrigeringene, brøt selskapet Chainguard embargoet og publiserte bygg av sin distribusjon som inneholdt en rettet versjon av PHP. Denne type brudd ga angripere muligheten til å studere korrigeringen før den offisielle utgivelsen, og minte også om hele arbeidet med koordinert informasjonsdeling og samtidig publisering av rettelser i forskjellige distribusjoner.

Tillegg: Seksten timer etter at detaljene om sårbarhetene i den universelle arbeidsutnyttelsen ble offentliggjort, har det fortsatt ikke dukket opp noen masseangrep, noe som forklares med kompleksiteten ved å utnytte sårbarheten på grunn av behovet for å bestemme minnestrukturens oppsett i prosessen, som er spesifikk for hver bygg. De publiserte fungerende prototype-eksploiteringer er koblet til individuelle konfigurasjoner og gjennomføring av angrep under laboratorieforhold. Det har også dukket opp mange falske eksploiteringer, som er AI-hallusinasjoner, og som bare skaper illusjonen av angrep, basert på konfigurasjonsfeil eller som bare fungerer i nærvær av andre kritiske sårbarheter.

Kilde: opennet.ru