Vývojári PHP zverejnili správu o problémoch, ktoré vznikli pri oprave kritických zraniteľností v PHP, ktoré boli opravené včera. Informácia o zraniteľnosti, ktorá vzniká pri vyčerpaní dostupnej pamäte, bola získaná počas externého auditu už v roku 2024, ale bola považovaná len za teoretickú možnosť útoku. Oprava sa oneskorila kvôli problémom s dosiahnutím konsenzu medzi vývojármi PHP o spôsobe odstránenia zraniteľnosti. Zvažovalo sa niekoľko súťažiacich návrhov na riešenie problému, pričom každý z nich mal svoje nevýhody. Muselo sa vyberať medzi porušením spätnej kompatibility, vznikom nových vektorov útokov spôsobujúcich odmietnutie služby a potrebou vykonať zmeny v mnohých externých doplnkoch.
Pred niekoľkými mesiacmi spoločnosti Calif a Wiz nezávisle od seba pomocou AI modelov GPT‑5.6 a Gemini 4 Argon identifikovali funkčné metódy zneužitia problému a 11. a 24. augusta 2026 o tom informovali vývojárov PHP. Po tom bol vývoj opráv určený ako najvyššia priorita a začalo sa reforovanie rozhodovacieho procesu na rýchlejšie reagovanie na otázky súvisiace so zložitými kompromise (takéto rozhodnutia teraz môžu byť prijímané väčšinou hlasov bez striktnej potreby dosiahnuť konsenzus).
Pôvodne bola koordinovaná s distribúciami dátum zverejnenia opravy stanovený na 22. októbra, ale bol presunutý na 21. októbra po úniku 20. októbra na sociálne siete informácií o CVE identifikátoroch a nesprávnych údajoch o čase zverejnenia nadchádzajúcich opravných zostavení.
Čoskoro po oznámení nadchádzajúcich opráv spoločnosť Calif, ktorá identifikovala jednu z zraniteľností, omylom zverejnila video s demonštráciou exploidu, v ktorom boli viditeľné niektoré detaily, ktoré umožnili zúžiť oblasť vyhľadávania a replikovania informácií o probléme. Videoklip bol rýchlo odstránený, čo iba podnietilo výskumníkov, aby sa hlbšie zaoberali zraniteľnosťou a urýchlilo prácu na alternatívnych prototipoch exploidov.
Okrem toho, šesť hodín pred plánovaným zverejnením opráv spoločnosť Chainguard porušila embargá a zverejnila zostavy svojho distribútu, ktoré obsahovali opravenú verziu PHP. Toto porušenie umožnilo útočníkom preskúmať opravný kód pred oficiálnym vydaním a zároveň zmarilo celú prácu na koordinovanom zverejnení informácií a súčasnom vydaní opráv v rôznych distribútoch.
Doplnok: Po 16 hodinách od zverejnenia podrobností o zraniteľnostiach univerzálneho pracovného exploitátu sa ešte neobjavili masové útoky, čo je vysvetlené zložitosti zneužitia zraniteľnosti v dôsledku potreby zistiť rozloženie štruktúr v pamäti procesu, ktoré je špecifické v každom zostavení. Uverejnené pracovné prototypy exploitov sú viazané na konkrétne konfigurácie a vykonávanie útoku v laboratórnych podmienkach. Taktiež sa objavilo mnoho falošných exploitov, ktoré sú halucináciami AI, iba vytvárajú dojem útoku, viazaného na chyby v konfigurácii alebo fungujúcich len za prítomnosti iných kritických zraniteľností.
Zdroj: opennet.ru
