Deweloperzy PHP opublikowali raport na temat problemów, które wystąpiły podczas usuwania krytycznych luk w PHP, naprawionych wczoraj. Informacje o wrażliwości, która występuje w przypadku wyczerpania dostępnej pamięci, uzyskano podczas zewnętrznego audytu jeszcze w 2024 roku, ale była ona traktowana jako teoretyczna możliwość przeprowadzenia ataku. Proces naprawy opóźnił się z powodu problemów z osiągnięciem konsensusu wśród deweloperów PHP co do sposobu usunięcia luki. Rozważano kilka konkurencyjnych propozycji rozwiązania problemu, z których każda miała swoje wady. Konieczne było dokonywanie wyboru pomiędzy naruszeniem wstecznej kompatybilności, pojawieniem się nowych wektorów ataków prowadzących do ataków Denial of Service oraz koniecznością wprowadzenia zmian w wielu zewnętrznych dodatkach.
Kilka miesięcy temu firmy Calif i Wiz niezależnie od siebie za pomocą modeli AI GPT‑5.6 i Gemini 4 Argon zidentyfikowały skuteczne metody eksploatacji problemu i w dniach 11 i 24 sierpnia 2026 roku poinformowały o tym deweloperów PHP. Po tym, natychmiast nadano najwyższy priorytet rozwojowi poprawek i rozpoczęto reformowanie procesu podejmowania decyzji, aby szybciej reagować w sprawach związanych z złożonymi kompromisami (takie decyzje mogą być teraz podejmowane większością głosów, bez konieczności ściśle osiągniętego konsensusu).
Początkowo, skoordynowana z dystrybucjami data publikacji poprawki została ustalona na 22 października, ale później przesunięto ją na 21 października po wycieku 20 października informacji o identyfikatorach CVE oraz nieprawidłowych danych dotyczących czasu publikacji nadchodzących poprawek.
Niedługo po ogłoszeniu nadchodzących poprawek firma Calif, która zidentyfikowała jedną z luk, omyłkowo opublikowała film demonstracyjny pokazujący działanie exploita, w którym widoczne były pewne szczegóły pozwalające zawęzić pole poszukiwań i odtworzyć informacje o problemie. Film został szybko usunięty, co jedynie zmotywowało badaczy do zgłębienia istoty wrażliwości i przyspieszyło prace nad alternatywnymi prototypami exploitów.
Ponadto, na sześć godzin przed zaplanowaną publikacją poprawek, firma Chainguard złamała embargo i opublikowała zestawy swojego dystrybucji zawierające poprawioną wersję PHP. Takie naruszenie umożliwiło przestępcom zapoznanie się z poprawkami przed oficjalnym wydaniem, a także podważyło całą pracę dotyczącą skoordynowanego ujawnienia informacji oraz jednoczesnej publikacji poprawek w różnych dystrybucjach.
Uzupełnienie: Szesnaście godzin po ujawnieniu szczegółów dotyczących luk w uniwersalnym exploicie roboczym, nie odnotowano jeszcze masowych ataków, co można wytłumaczyć trudnościami w wykorzystaniu tej luki z powodu potrzeby określenia układów struktur w pamięci procesu, które są specyficzne dla każdej wersji. Opublikowane działające prototypy exploitów są związane z konkretnymi konfiguracjami i przeprowadzeniem ataku w warunkach laboratoryjnych. Pojawiło się również wiele fałszywych exploitów, które są halucynacjami AI, tworzącymi jedynie pozory ataku, związanymi z błędami w konfiguracji lub działającymi tylko w przypadku wystąpienia innych krytycznych luk.
Źródło: opennet.ru
