Twórcy PHP: pierwsze sygnały o lukach pojawiły się w 2024
PHP Foundation ujawniła, że pierwsze sygnały o krytycznych podatnościach pojawiły się w 2024 roku, a ich naprawa opóźniła się z powodu problemów z kompatybilnością i braku koordynacji.
Dwie krytyczne luki w PHP (CVE-2026-109618 oraz CVE-2026-109619) ocenione na CVSS 9.2 pozwalały na zdalne wykonanie kodu na wszystkich wersjach, począwszy od 5.0. Z PHP korzysta znaczna część oprogramowania – od WordPressa po PHPMyAdmin.
PHP Foundation ujawniła, że pierwsze poszlaki pojawiły się już w 2024 roku, podczas audytu przeprowadzonego przez firmę Quarkslab. Zespół ds. bezpieczeństwa PHP opracował kilka rozwiązań, ale każde wiązało się z naruszeniem kompatybilności wstecznej, nowym potencjałem ataków DoS lub koniecznością wprowadzenia zmian w wielu rozszerzeniach.
Zespół ds. bezpieczeństwa PHP, działając w oparciu o konsensus, miał trudności z wyborem między tymi rozwiązaniami i obawiał się konsekwencji niewłaściwego wyboru
Dwa lata prac i wycieki w dwa dni
Fundacja włączyła PHP do programu OpenAI Patch the Planet, co pozwoliło na audyt przeprowadzony przez firmę Calif w lipcu 2026 roku. 11 sierpnia firma ta i OpenAI zidentyfikowały podatność RCE (zdalne wykonanie kodu) z tym samym źródłem błędu OOM, który był tematem prac od 2024 roku.
Prace nad łatką opóźniły się z powodu wycieków informacji. Pierwotny termin publikacji wyznaczono na godzinę 16:00 czasu polskiego 22 października, jednak oznaczenia podatności wyciekły we wtorek po południu. W odpowiedzi PHP Foundation ogłosiła szczegóły o 21:30 czasu polskiego, przyspieszając aktualizację o dobę.
Po publikacji łatki, firma Calif pół godziny później przez przypadek opublikowała film ze szczegółami błędu.
Powiązane
