Kršenje embarga in zamude pri razvoju popravkov med odpravljanjem ranljivosti v PHP

Razvijalci PHP so objavili poročilo o težavah, ki so se pojavile med odpravo včeraj popravljene kritične ranljivosti v PHP. Informacije o ranljivosti, ki nastane ob izčrpanju razpoložljive pomnilnika, so bile pridobljene med zunanjim pregledom že leta 2024, vendar so bile obravnavane le kot teoretična možnost napada. Popravilo se je zavleklo zaradi težav pri doseganju konsenza med razvijalci PHP o načinu reševanja ranljivosti. Razvijala so se številna konkurenčna predlogi za rešitev težave, vsaka od katerih je imela svoje pomanjkljivosti. Treba je bilo izbirati med kršenjem nazaj kompatibilnosti, pojavom novih vektorjev napadov, ki povzročajo zavrnitev storitve, in potrebo po spremembah v številnih zunanjih dodatkih.

Pred nekaj meseci sta podjetji Calif in Wiz neodvisno odkrila delujoče metode izkoriščanja težave s pomočjo modelov AI GPT‑5.6 in Gemini 4 Argon in sta 11. in 24. avgusta 2026 o tem obvestila razvijalce PHP. Po tem je bila razvoju popravkov dodeljena najvišja prioriteta in začela se je reforma odločanja za hitrejše odzivanje na vprašanja povezana s kompleksnimi kompromisi (takšne odločitve zdaj lahko sprejema večina brez strogega doseganja konsenza).

Sprva je bila usklajena z distribucijami, datum objave popravkov predviden na 22. oktober, vendar je bil nato prestavljen na 21. oktober po uhajanju 20. oktobra v družbena omrežja informacij o CVE identifikatorjih in netočnih podatkih o času objave prihajajočih popravkov.

Kmalu po napovedi prihajajočih popravkov je podjetje Calif, ki je odkrilo eno od ranljivosti, pomotoma objavilo video z demonstracijo delovanja eksploita, v katerem so bili opazni nekateri detajli, ki so omogočili zožitev iskanja in obnavljanja informacij o težavi. Video je bil hitro odstranjen, kar je le spodbudilo raziskovalce, da so se poglobili v bistvo ranljivosti in pospešilo delo na alternativnih prototipih eksploita.

Poleg tega je podjetje Chainguard šest ur pred načrtovanim objavljenjem popravkov prekršilo embargo in objavilo različice svoje distribucije, ki vsebujejo popravljeno različico PHP. Takšno kršenje je omogočilo zlonamernim akterjem, da preučijo popravke pred uradnim izdajo, in hkrati uničilo ves trud za usklajeno razkritje informacij ter hkraten izpust popravkov v različnih distribucijah.

Dopolnilo: Šestnajst ur po razkritju podrobnosti o ranljivostih univerzalnega delovnega izkoriščanja še ni prišlo do množičnih napadov, kar je pojasnjeno s težavnostjo izkoriščanja ranljivosti zaradi potrebe po določanju razporeditve struktur v pomnilniku procesa, ki je specifična za vsako različico. Objavljeni delujoči prototipi izkoriščanja so vezani na posamezne konfiguracije in izvajanje napadov v laboratorijskih pogojih. Pojavilo se je tudi veliko lažnih izkoriščanj, ki so posledica halucinacij AI, ki le ustvarjajo videz napada, vezanega na napake v konfiguraciji ali delujejo samo ob prisotnosti drugih kritičnih ranljivosti.

Izvor: opennet.ru