Porušenia embarga a predlžovanie vývoja patchov počas odstránenia zraniteľností v PHP

Vývojári PHP zverejnili správu o problémoch, ktoré nastali pri odstraňovaní nedávno opravených kritických zraniteľností v PHP. Informácie o zraniteľnosti, ktorá vzniká pri vyčerpaní dostupnej pamäte, boli získané počas externého auditu už v roku 2024, no vnímali sa iba ako teoretická možnosť vykonania útoku. Oprava sa oneskorila kvôli problémom s dosiahnutím konsenzu medzi vývojármi PHP, pokiaľ ide o spôsob odstránenia zraniteľnosti. Zvažovala sa niekoľko konkurenčných návrhov na riešenie problému, z ktorých každý mal svoje nedostatky. Muselo sa vyberať medzi narušením spätnej kompatibility, vzniknutím nových vektorov pre útoky, ktoré spôsobujú odmietanie služby, a nutnosťou vykonať zmeny v množstve externých doplnkov.

Pred niekoľkými mesiacmi spoločnosti Calif a Wiz nezávisle od seba pomocou AI modelov GPT‑5.6 a Gemini 4 Argon identifikovali funkčné metódy exploitácie problému a 11. a 24. augusta 2026 o tom informovali vývojárov PHP. Po tom bol vývoj opráv pridelený najvyšší priorita a začal sa reformovať proces rozhodovania pre rýchlejšie reagovanie na otázky spojené so zložitými kompromismi (takéto rozhodnutia teraz môžu byť prijaté väčšinou hlasov bez prísneho dosahovania konsenzu).

Pôvodne, v koordinácii s distribúciami, bola dátum publikácie opravy určená na 22. októbra, ale potom bola presunutá na 21. októbra po úniku 20. októbra na sociálne siete informácií o CVE identifikátoroch a nesprávnych údajoch o čase publikovania nadchádzajúcich opravárenských vydaní.

Krátko po oznámení nadchádzajúcich opráv spoločnosť Calif, ktorá identifikovala jednu zo zraniteľností, omylom zverejnila video s demonštráciou funkčnosti exploitu, v ktorom boli viditeľné niektoré detaily, ktoré umožnili zúžiť oblast hľadania a znovuvytvorenia informácií o probléme. Video bolo rýchlo odstránené, čo len ešte viac povzbudilo výskumníkov, aby sa snažili preniknúť do podstaty zraniteľnosti a urýchlilo prácu na alternatívnych prototypoch exploitov.

Okrem toho, šesť hodín pred plánovanou publikáciou opráv spoločnosť Chainguard porušila embargo a zverejnila verzie svojho distribučného balíka obsahujúce opravenú verziu PHP. Toto porušenie dalo zlomyseľným aktérom možnosť preskúmať opravu pred oficiálnym vydaním, a tak zmarilo celú prácu na koordinovanom odhalením informácií a simultánnom publikovaní opráv v rôznych distribúciách.

Doplnenie: Po 16 hodinách od odhalenia detailov o zraniteľnostiach univerzálneho pracovného exploitovania zatiaľ neprišlo k masovým útokom, čo je vysvetlené zložitou exploitáciou zraniteľnosti kvôli nutnosti určiť rozloženie štruktúr v pamäti procesu, ktoré je špecifické pre každú verziu. Publikované pracovné prototypy exploitov sú viazané na konkrétne konfigurácie a realizovanie útoku v laboratórnych podmienkach. Rovnako sa objavilo množstvo falošných exploitov, ktoré sú halucináciami AI, len vytvárajúcimi dojem útoku, viazanými na chyby v konfigurácii alebo fungujúcimi iba pri prítomnosti iných kritických zraniteľností.

Zdroj: opennet.ru