PHP Foundation wydał dzisiaj krytyczne patche bezpieczeństwa dla wszystkich wersji PHP 8.x, usuwające dwie poważne luki RCE. Aktualizacje zostały przyspieszowane po wyciekach informacji związanych z niedostateczną procedurą odpowiedzialnego ujawniania podatności. Aby uniknąć strat, wszyscy administratorzy serwerów PHP powinni natychmiast wdrożyć te patche.
Problemy rozpoczęły się 20 października, kiedy CVE-ID i nieprawidłowe informacje (w tym błędny wynik CVSS 10.0 zamiast właściwego 9.2) zaczęły krążyć na forach i mediach społecznościowych. PHP Foundation przyspieszył publikację pre-ogłoszenia na 19:30 UTC i przesunął datę wydania z 22 października na 21 października. Komplikacja nasiliła się, gdy firma bezpieczeństwa Calif opublikował video z działającym proof of concept, ujawniając dodatkowe szczegóły luk. Mimo szybkiego usunięcia materiału, kopie rozprzestrzeniły się w internecie.
Bledem w procesie koordynowanego ujawniania było niedostateczne nadzorowanie dostępu do informacji przed oficjalną publikacją. Video i wyciekłe detale przyspieszyły opracowanie różnych exploitów, które od 21 października zaczęły aktywnie krążyć. To sytuacja krytyczna - każdy serwer PHP powinien być uaktualniony natychmiast, zanim atakujący będą mogli lokalnie testować i doskonalić ataki na bardziej rozpowszechnione wdrożenia.