Enkele onderzoekers meldden dat de patch die PHP gisteren uitbracht de lading niet volledig dekt. Volgens PHP is er geen sprake van een derde kwetsbaarheid.
Een dubbele kwetsbaarheid in de populaire programmeertaal PHP zette gisteren het globale internet in vuur en vlam. Beheerder PHP Foundation bracht tegen de klok een noodpatch uit, en afgaande op het ontbreken van nieuwsberichten over exploits, lijkt het gros van webbeheerder het huiswerk te hebben gemaakt. Toch stellen enkele onafhankelijke onderzoekers de patch in vraag.
Onderzoeker Nicolas Krassas zegt op X dat de patch nog steeds een aanvalsroute openlaat. Dit gaat concreet over de versie 8.5.12. Diezelfde update wordt ook door een andere onderzoekster Elise Boyd op de korrel genomen. Er zou nog een andere geheugenbug in PHP 8.5.12 zitten die de patch niet oplost.
PHP: ‘geen derde kwetsbaarheid’
PHP zegt dat er geen sprake is van een derde kwetsbaarheid. De kwetsbaarheid waarnaar Boyd refereert, zou niet gerelateerd zijn aan de door PHP Foundation gepatchte lekken, zegt een ontwikkelaar via Reddit. Nu PHP onder het vergrootglas ligt, valt het niet uit te sluiten dat er de komende periode nog meer meldingen over kwetsbaarheden in de programmeertaal komen bovendrijven. Die hoeven daarom niet allemaal dezelfde ernst te hebben.
AI is hier zowel de vriend als de vijand van codemaintainers. Met AI kunnen kwetsbaarheden sneller worden opgespoord. Echter is niet elke kwetsbaarheidsmelding door AI even betrouwbaar of urgent, wat het voor menselijke onderhouders moeilijk maakt op elke melding te reageren.
PHP Foundation krijgt kritiek op hoe het met de kwetsbaarheden is omgesprongen, omdat het van minstens één al sinds 2024 op de hoogte was, maar niet gepatcht had. De stichting bijt van zich af en is niet blij met beveiligingsonderzoekers die hun bevindingen niet in samenspraak delen. Zo ontstond gisteren een gevaarlijk gat tussen bekendmaking van de kwetsbaarheid en release van de patch. Tegenwoordig hebben aanvallers maar enkele uren nodig om een exploit te bedenken.
Het uitbrengen van een patch is slechts het begin naar een veiliger internet. Webbeheerders moeten de patch nu ook nog uitvoeren, en daar gaat het in de praktijk vaak mis. Hackers zullen de komende dagen nog lustig op zoek gaan naar ongedichte achterpoortjes.