Zhvilluesit e PHP publikuan një raport mbi problemet që u shfaqën gjatë eliminimit të vulnerabiliteteteve kritike të korrigjuara dje në PHP. Informacioni mbi vulnerabilitetin që ndodh për shkak të shpenzimit të memories së disponueshme u mor gjatë një auditimi të jashtëm në vitin 2024, por u prit si një mundësi teorike për një sulm. Korrigjimi u vonua për shkak të problemeve në arritjen e konsensusit midis zhvilluesve të PHP për mënyrën e eliminimit të vulnerabilitetit. U shqyrtuan disa propozime konkurruese për zgjidhjen e problemit, secila prej të cilave kishte disavantazhet e veta. Kishte nevojë të zgjidhet midis shkeljes së përputhshmërisë së prapme, shfaqjes së vektorëve të rinj për sulme që shkaktojnë ndërprerje shërbimi dhe nevojës për të bërë ndryshime në shumë zgjerime të jashtme.
Disa muaj mĂ« parĂ«, kompanitĂ« Calif dhe Wiz, tĂ« cilat punuan ndiç me modelet AI GPTâ5.6 dhe Gemini 4 Argon, identifikuan metodat funksionale tĂ« shfrytĂ«zimit tĂ« problemit dhe nĂ« 11 dhe 24 gusht 2026 e informuan zhvilluesit e PHP. Pas kĂ«saj, zhvillimi i korrigjimeve mori prioritetin mĂ« tĂ« lartĂ« dhe u fillua reformimi i procesit tĂ« marrjes sĂ« vendimeve pĂ«r tĂ« reaguar mĂ« shpejt nĂ« çështjet qĂ« lidhen me kompromise komplekse (tĂ« tilla vendime tani mund tĂ« merren me shumicĂ« votash pa arritur njĂ« konsensus tĂ« rreptĂ«).
Fillimisht, data e publikimit të korrigjimeve e koordinuar me distribuimet ishte caktuar për 22 tetor, por më pas u rikthye në 21 tetor pas një shpërthimi më 20 tetor në rrjetet sociale të informacionit mbi identifikuesit CVE dhe të dhënave të pasakta mbi kohën e publikimit të lëshimeve të ardhshme korrigjuese.
Menjëherë pas njoftimit për korrigjimet e ardhshme, kompania Calif, e cila identifikoi një nga vulnerabilitetet, gabimisht publikoi një video që demonstroi funksionimin e eksploitatit, në të cilin ishin të dukshme disa detaje që mund të ngushtonin fushën e kërkimit dhe rikrijimit të informacionit mbi problemin. Videoja u fshi shpejt, gjë që vetëm e nxiti dëshirën e studiuesve për të zbuluar thelbin e vulnerabilitetit dhe forcoi punën mbi prototipet alternative të eksploitateve.
Përveç kësaj, gjashtë orë para publikimit të planifikuar të rregullimeve, kompania Chainguard shkel embargo-n dhe publikoi ndërtimet e shpërndarjes së saj, duke përfshirë versionin e përmirësuar të PHP. Kjo shkelje iu dha mundësinë aktorëve të këqij të studionin rregullimin para lansimit zyrtar, si dhe çoi në dështimin e të gjithë punës për zbulimin e koordinuar të informacionit dhe publikimin e përmirësimeve në shpërndarje të ndryshme.
Shtesë: Pas 16 orësh nga zbulimi i detajeve mbi dobësitë e eksploituesit univers, ende nuk ka pasur sulme masive dhe kjo shpjegohet nga vështirësia e shfrytëzimit të dobësisë për shkak të nevojës për të përcaktuar përbërjen strukturale në memorie e procesit, e cila është specifike për çdo ndërtim. Prototipat e publikuar të eksploituesve janë të lidhura me konfigurata të veçanta dhe kërkojnë që sulmi të kryhet në kushte laboratorike. Po ashtu, ka pasur shumë eksploitues të rremë, që janë halucinacione të AI, që thjesht krijojnë një iluzion sulmi, të lidhura me gabime në konfigurim ose që funksionojnë vetëm nëse ekzistojnë dobësi të tjera kritike.
Burimi: opennet.ru
