Ontdekker PHP-kwetsbaarheden lekte per ongeluk zelf vroegtijdig details uit

In dit artikel:

De PHP Foundation heeft uiteengezet hoe de voorbereiding op twee ernstige kwetsbaarheden in PHP ontspoorde. Eerst kwamen de bijbehorende CVE-nummers voortijdig in omloop. Daarna kondigden de ontwikkelaars versneld een beveiligingsupdate aan. Onderzoekers van Calif brachten vervolgens een dag te vroeg een video met aanvalsdemo’s uit, terwijl ook beveiligingsadvies voor grote infrastructuurbedrijven uitlekte. Volgens de Foundation was er op dat moment nog geen bewijs dat aanvallers de informatie konden gebruiken voor echte aanvallen.

De situatie escaleerde toen Chainguard, dat vooraf toegang tot de patches had gekregen, zijn beveiligingsupdates zes uur vóór de afgesproken publicatie beschikbaar maakte. Daardoor werden details over de kwetsbaarheden te vroeg openbaar. Uit voorzorg haalden organisaties wereldwijd websites offline, waaronder Tweakers, om mogelijke cyberaanvallen te voorkomen. De problemen raakten op 21 oktober het internet. Omdat de kwetsbaarheden in veel PHP-versies zitten en oudere versies geen updates meer ontvangen, adviseert de Foundation gebruikers zo snel mogelijk naar een ondersteunde versie te migreren. PHP wordt gebruikt door 69,3 procent van alle websites en vormt onder meer de basis van WordPress, Joomla en Drupal.