Os desenvolvedores do PHP publicaram um relatório sobre os problemas que surgiram durante o processo de correção das vulnerabilidades críticas corrigidas ontem no PHP. A informação sobre a vulnerabilidade que ocorre devido ao esgotamento da memória disponível foi obtida durante uma auditoria externa no ano de 2024, mas foi considerada apenas como uma possibilidade teórica de ataque. A correção se atrasou devido a problemas para alcançar um consenso entre os desenvolvedores do PHP sobre a forma de resolver a vulnerabilidade. Várias propostas concorrentes para resolver o problema foram consideradas, cada uma com suas desvantagens. Era necessário escolher entre violar a compatibilidade retroativa, criar novos vetores para ataques que causariam negação de serviço, e a necessidade de modificar uma infinidade de complementos de terceiros.
Meses atrás, as empresas Calif e Wiz, de forma independente, utilizaram modelos de IA GPT‑5.6 e Gemini 4 Argon para identificar métodos funcionais de exploração do problema e informaram os desenvolvedores do PHP sobre isso em 11 e 24 de agosto de 2026. Após isso, o desenvolvimento das correções recebeu a mais alta prioridade e um reformulação do processo de tomada de decisões foi iniciada para uma resposta mais ágil em questões relacionadas a compromissos complexos (decisões semelhantes agora podem ser tomadas por maioria de votos, sem a necessidade de alcançar um consenso rigoroso).
Inicialmente, a data de publicação da correção coordenada com as distribuições foi marcada para 22 de outubro, mas foi adiantada para 21 de outubro após o vazamento, em 20 de outubro, nas redes sociais de informações sobre os identificadores CVE e dados incorretos sobre o horário de publicação das próximas versões corretivas.
Logo após o anúncio das próximas correções, a empresa Calif, que identificou uma das vulnerabilidades, acidentalmente publicou um vídeo demonstrando o funcionamento do exploit, no qual eram visíveis alguns detalhes que possibilitavam restringir a busca e a recriação de informações sobre o problema. O vídeo foi rapidamente removido, o que apenas incentivou os pesquisadores a se aprofundarem na vulnerabilidade e acelerou o trabalho em protótipos alternativos de exploits.
Além disso, seis horas antes da publicação programada das correções, a empresa Chainguard quebrou o embargo e publicou compilações de sua distribuição contendo a versão corrigida do PHP. Essa violação permitiu que os criminosos analisassem a correção antes do lançamento oficial, além de comprometer todo o trabalho de divulgação coordenada e da publicação simultânea das correções em diferentes distribuições.
Adicionalmente: Após 16 horas da divulgação dos detalhes sobre as vulnerabilidades do exploit universal, não houve ataques em massa até o momento, o que pode ser explicado pela complexidade de exploração da vulnerabilidade devido à necessidade de determinar o layout das estruturas na memória do processo, que é específica para cada compilação. Os protótipos de exploits publicados estão atrelados a configurações específicas e à realização de ataques em condições laboratoriais. Também surgiram muitos exploits fictícios, que são alucinações de IA, criando apenas a ilusão de ataques, relacionados a erros de configuração ou que funcionam apenas na presença de outras vulnerabilidades críticas.
Fonte: opennet.ru
