Överträdelser av embargo och fördröjningar i utvecklingen av patchar för att åtgärda sårbarheter i PHP

PHP-utvecklarna har publicerat en rapport om problemen som uppstod under åtgärdandet av de kritiska sårbarheterna i PHP som åtgärdades igår. Informationen om sårbarheten som uppstår vid minnesutarmning erhölls genom en extern revision redan 2024, men uppfattades bara som en teoretisk möjlighet för en attack. Åtgärdandet fördröjdes på grund av problem med att nå enighet bland PHP-utvecklarna om hur sårbarheten skulle åtgärdas. Flera konkurrerande förslag för att lösa problemet övervägdes, var och en med sina nackdelar. Det fick väljas mellan att bryta bakåtkompatibilitet, skapa nya vektorer för attacker som orsakar tjänsteavbrott, och nödvändigheten av att göra ändringar i många tredjeparts tillägg.

För några månader sedan identifierade företagen Calif och Wiz oberoende av varandra genom AI-modellerna GPT-5.6 och Gemini 4 Argon fungerande metoder för att utnyttja problemet och informerade PHP-utvecklarna den 11 och 24 augusti 2026. Efter detta gavs utvecklingen av åtgärder högsta prioritet och reformer av beslutsprocessen inleddes för att möjliggöra snabbare svar på frågor relaterade till komplexa kompromisser (liknande beslut kan nu fattas med enkel majoritet utan strikt enighet).

Ursprungligen var det en koordinerad publiceringsdatum för åtgärdandet med distributionerna satt till den 22 oktober, men datumet flyttades sedan till den 21 oktober efter att information om CVE-id och felaktiga uppgifter om publiceringstidpunkten för de kommande korrigeringsutgåvorna läckte ut på sociala medier den 20 oktober.

Strax efter tillkännagivandet av de kommande åtgärderna publicerade företaget Calif, som identifierade en av sårbarheterna av misstag en videofilm som demonstrerade hur exploiten fungerade, där vissa detaljer syntes som gjorde det möjligt att smalna av sökområdet och återskapa information om problemet. Videon togs snabbt bort, vilket bara ökade forskarnas vilja att förstå sårbarheten och påskyndade arbetet med alternativa prototyper av exploiter.

Utöver detta, sex timmar före den planerade publiceringen av korrigeringarna bröt företaget Chainguard embargot och publicerade versioner av sin distribution som innehöll den korrigerade versionen av PHP. Detta brott gav angripare möjlighet att studera korrigeringen innan den officiella lanseringen och förstörde allt arbete med samordnad informationsutlämning och samtidig publicering av korrigeringar i olika distributioner.

Tillägg: Sexton timmar efter att detaljer om sårbarheterna för den universella arbetsploitern avslöjats har det ännu inte förekommit några massangrepp, vilket förklaras av den svåra exploatering av sårbarheten på grund av behovet av att bestämma minneslayouten i processens struktur, som är specifik för varje version. De publicerade fungerande prototyperna av exploits är bundna till specifika konfigurationer och genomförs under laboratorieförhållanden. Det har också dykt upp många falska exploits, skapade av AI, som endast skapar en illusion av ett angrepp, beroende av konfigurationsfel eller arbetar endast i närvaro av andra kritiska sårbarheter.

Källa: opennet.ru