Securityexperts vinden derde bug in PHP en claimen dat patch incompleet is

In dit artikel:

De beveiliging van PHP blijft onderwerp van onderzoek nadat woensdag vervroegd versie 8.5.12 met reparaties voor twee kritieke kwetsbaarheden verscheen. De Zwitserse onderzoeker Nicolas Krassas zegt dat de update niet alle aanvalsmogelijkheden wegneemt. Volgens hem blijven drie manieren over om de fouten te misbruiken. Hij publiceerde een analyse en werkende demonstratiecode zonder vooraf overleg met het PHP-beveiligingsteam. Op sociale media wordt zijn conclusie besproken en betwist.\n\nDe Duitse onderzoeker Elise Amber Katze meldde daarnaast een derde geheugenkwetsbaarheid bij het PHP-team. Haar demonstratie zou ook werken tegen versie 8.5.12. PHP-ontwikkelaar Ilija Tovilo bevestigt dat het om een ander type geheugenbug gaat, maar acht die niet urgent. Misbruik zou bovendien moeilijker zijn dan bij de twee kwetsbaarheden die tot de versnelde patch leidden. PHP wordt volgens de aangehaalde cijfers gebruikt op 69,3 procent van alle websites wereldwijd.