Naruszenia embarga i opóźnienia w rozwoju poprawek w trakcie usuwania podatności w PHP

Programiści PHP opublikowali raport dotyczący problemów, które pojawiły się podczas naprawy wczoraj zidentyfikowanych krytycznych luk w PHP. Informacje o luce związanej z wyczerpaniem dostępnej pamięci zostały uzyskane w trakcie zewnętrznego audytu już w 2024 roku, ale zostały uznane tylko za teoretyczną możliwość przeprowadzenia ataku. Naprawa zostały opóźnione z powodu problemów z osiągnięciem konsensusu wśród programistów PHP co do sposobu eliminacji luki. Rozważano kilka konkurencyjnych propozycji dotyczących rozwiązania problemu, z których każda miała swoje wady. Trzeba było wybierać pomiędzy naruszeniem zgodności wstecznej, pojawieniem się nowych wektorów ataków prowadzących do odmowy usługi a koniecznością wprowadzenia zmian w wielu zewnętrznych dodatkach.

Kilka miesięcy temu firmy Calif i Wiz niezależnie od siebie, za pomocą modeli AI GPT‑5.6 i Gemini 4 Argon, zidentyfikowały działające metody eksploatacji problemu i w dniu 11 oraz 24 sierpnia 2026 roku poinformowały o tym programistów PHP. Następnie dokonano najwyższego priorytetu nad opracowaniem poprawek i rozpoczęto reformowanie procesu podejmowania decyzji, aby szybciej reagować na kwestie związane z trudnymi kompromisami (takie decyzje mogą teraz być podejmowane większością głosów bez konieczności osiągania ścisłego konsensusu).

Początkowo, skoordynowana z dystrybucjami data publikacji poprawki została ustalona na 22 października, ale później została przesunięta na 21 października po wycieku 20 października w mediach społecznościowych informacji o identyfikatorach CVE oraz błędnych danych na temat czasu publikacji nadchodzących poprawkowych wydań.

Wkrótce po ogłoszeniu nadchodzących poprawek, firma Calif, która zidentyfikowała jedną z luk, omyłkowo opublikowała wideo demonstrujące działanie exploita, w którym widoczne były pewne szczegóły, które mogłyby zawęzić obszar poszukiwań i rekonstrukcji informacji o problemie. Film został szybko usunięty, co tylko zwiększyło chęć badaczy do zgłębiania istoty luki i przyspieszyło prace nad alternatywnymi prototypami exploitów.

Ponadto, sześć godzin przed planowaną publikacją poprawek firma Chainguard złamała embargo i opublikowała zestawy swojego dystrybucji, zawierające poprawioną wersję PHP. Takie naruszenie umożliwiło przestępcom zapoznanie się z poprawką przed oficjalnym wydaniem, a także podważyło całą pracę nad skoordynowanym ujawnieniem informacji i jednoczesnym publikowaniem poprawek w różnych dystrybucjach.

Uzupełnienie: Szesnaście godzin po ujawnieniu szczegółów na temat luk w uniwersalnym roboczym exploicie wciąż nie odnotowano masowych ataków, co można wyjaśnić trudnością w wykorzystaniu luki z uwagi na konieczność określenia układu struktur w pamięci procesu, który jest specyficzny dla każdej kompilacji. Opublikowane działające prototypy exploitów opierają się na określonych konfiguracjach i przeprowadzeniu ataku w warunkach laboratoryjnych. Pojawiło się także wiele fałszywych exploitów, będących wytworami AI, które jedynie tworzą iluzję ataku, związane z błędami w konfiguracji lub działające tylko przy obecności innych krytycznych luk.

Źródło: opennet.ru