PHP fondas pripažino, kad „struktūrinė nesėkmė“ uždelsė klaidų taisymą

PHP fondas pareiškė, kad vėlavimas ištaisyti vieną iš dviejų kritinių PHP programavimo kalbos spragų „buvo struktūrinė nesėkmė“. Šį pripažinimą fondas paskelbė trečiadienį, spalio 21 d., po to, kai buvo išleisti skubūs pataisymai, o vyriausybės visame pasaulyje atsargumo sumetimais išjungė svetaines, pranešė Reuters per The Standard. Pasak fondo, tyrėjas pirmuosius vienos spragos požymius aptiko 2024 m., tačiau tuo metu nebuvo rasta konkretaus būdo ja pasinaudoti, todėl pirmenybė buvo teikiama kitoms problemoms, turinčioms aiškesnį poveikį.thestandard.com.hk

Mėnesius trukęs taisymo vėlavimas

LWN cituojamame tinklaraščio įraše fondas nurodė, kad jo saugumo komanda pateikė kelis konkuruojančius sprendimus. Kiekvienas jų turėjo savo kainą: vienas pažeidė atgalinį suderinamumą, kitas sukėlė naują paslaugų trikdymo riziką, o trečias reikalavo pakeitimų daugelyje trečiųjų šalių plėtinių. Komanda sprendimus priimdavo konsensusu ir „bijojo pasekmių pasirinkus netinkamą variantą“, rašoma pranešime. Kadangi nebuvo žinomas joks kelias į nuotolinį kodo vykdymą, o nedaugelis pagrindinių kūrėjų, gerai išmanančių variklį, turėjo daug kitų pareigų, darbas „mėnesius nuolat strigo ir buvo pradedamas iš naujo“. „Nemanysime kitaip: vėlavimas buvo struktūrinė nesėkmė, kurią lėmė tiek saugumo komandos sprendimų priėmimo procesas, tiek išteklių trūkumas“, – teigė fondas.lwn.net

Problema vėl tapo aktuali rugpjūčio 11 d. Tą dieną saugumo įmonė Calif ir OpenAI nepriklausomai viena nuo kitos pranešė apie tą pačią pagrindinę priežastį, o Calif parodė, kad gali vykdyti kodą nuotoliniu būdu be jokių sąlygų, pranešė Cointelegraph. Fondas teigė, kad nuo to laiko saugumo sprendimus priima ne konsensusu, o balsų dauguma, ir pasamdė dar du inžinierius. Jis taip pat paragino įmones ir vyriausybes, kurios remiasi PHP, padėti finansuoti saugumo darbus, pranešė The Next Web. Išleidimas buvo paankstintas viena diena po to, kai pažeidžiamumų identifikatoriai nutekėjo internete, o fondas kritikavo Chainguard už tai, kad ši paskelbė pataisytus atvaizdus prieš suderintą išleidimą.tradingview.com+1

Svetainės tampa nepasiekiamos

Klaidos, pramintos PHP2Shell, yra stebimos kaip CVE-2026-109618 ir CVE-2026-109619. Jos ištaisytos PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35 versijose, ir potencialiai paveikta kiekviena PHP diegimo versija, aptarnaujanti žiniatinklio užklausas, pranešė The Register. Kibernetinio saugumo agentūros JAV, JK, Kanadoje, Australijoje ir Europos Sąjungoje nurodė svetainių operatoriams išjungti svetaines, kol bus galima jas atnaujinti, pranešė Cybersecurity Dive. Saugumo žurnalistas Brianas Krebsas apskaičiavo, kad atnaujinimo reikia beveik 70 procentų svetainių.theregister.com+2

Nyderlandai sustabdė savo skaitmeninės tapatybės paslaugos veikimą. Suomijos valstybinis IT paslaugų teikėjas Valtori atjungė viešąsias žiniatinklio paslaugas, o Prancūzija laikinai išjungė prefektūrų svetaines, pranešė Cointelegraph. Wikimedia Foundation taip pat išjungė kai kurias pagalbines paslaugas. Coinbase ↗ 3.65% teigė neradusi jokių pažeidžiamų PHP egzempliorių.tradingview.com

JAV Kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA) teigė, kad paskelbdama savo rekomendacijas „nematė šių pažeidžiamumų išnaudojimo“. Tačiau ji įspėjo, kad jie „kelia riziką organizacijoms, jei nebus ištaisyti“, pranešė Reuters.thestandard.com.hk