Dezvoltatorii PHP au publicat un raport despre problemele întâmpinate în procesul de remediere a vulnerabilităților critice corectate ieri în PHP. Informațiile despre vulnerabilitatea apărută din epuizarea memoriei disponibile au fost obținute în urma unui audit extern în 2024, dar au fost percepute doar ca o posibilitate teoretică de atac. Remedierea a fost întârziată din cauza problemelor de consens între dezvoltatorii PHP privind modalitatea de a aborda vulnerabilitatea. Au fost luate în considerare mai multe propuneri concurente pentru rezolvarea problemei, fiecare având dezavantajele sale. A fost necesar să se aleagă între încălcarea compatibilității inverse, apariția de noi vectori de atac care provoacă atacuri de tip denial-of-service și necesitatea de a modifica numeroase extensii externe.
Cu câteva luni în urmă, companiile Calif și Wiz, independent una de cealaltă, au identificat metode funcționale de exploatare a problemei folosind modelele AI GPT‑5.6 și Gemini 4 Argon, raportându-le dezvoltatorilor PHP pe 11 și 24 august 2026. După aceasta, dezvoltarea remedierilor a fost stabilită ca fiind cea mai mare prioritate și a fost inițiată reformarea procesului de luare a deciziilor pentru o reacție mai rapidă în problemele legate de compromisuri complexe (aceste decizii pot fi acum adoptate cu majoritatea voturilor, fără a necesita realizarea unui consens strict).
Inițial, data publicării coordonate cu distribuțiile pentru remediere era stabilită pe 22 octombrie, dar apoi a fost mutată pe 21 octombrie după scurgerea de pe 20 octombrie în rețelele sociale a informațiilor despre identificatorii CVE și datele incorecte privind ora publicării viitoarelor versiuni corective.
La scurt timp după anunțarea remedierilor viitoare, compania Calif, care a identificat una dintre vulnerabilități, a publicat din greșeală un videoclip demonstrativ al exploatului, în care erau vizibile unele detalii care permiteau restrângerea domeniului de căutare și recrearea informațiilor despre problemă. Videoclipul a fost șters rapid, ceea ce a stimulat și mai mult dorința cercetătorilor de a descoperi esența vulnerabilității și a accelerat lucrările la prototipuri alternative de exploate.
În plus, cu șase ore înainte de publicarea programată a corecțiilor, compania Chainguard a încălcat embargoul și a publicat versiunile distribuției sale, conținând versiunea corectată a PHP. Această violare a oferit infractorilor ocazia de a studia corecția înainte de lansarea oficială, ștergând astfel întreaga muncă de divulgare coordonată și publicarea simultană a corecțiilor în diferite distribuții.
Complement: La 16 ore după dezvăluirea detaliilor despre vulnerabilitățile exploit-ului universal, nu au apărut atacuri în masă, ceea ce se explică prin complexitatea exploatării vulnerabilității din cauza necesității de a determina aranjamentul structurilor din memoria procesului, care este specific pentru fiecare versiune. Prototipurile de exploatare publicate sunt legate de configurații individuale și de desfășurarea atacurilor în condiții de laborator. De asemenea, au apărut multe exploatări false, care sunt halucinații AI, care creează doar iluzia unui atac, bazându-se pe erori de configurație sau funcționând doar în prezența altor vulnerabilități critice.
Sursa: opennet.ro
