PHP ligt onder vergrootglas: patch zou incompleet zijn en derde bug gevonden

In dit artikel:

De vervroegd verschenen beveiligingsupdate voor PHP 8.5.12 neemt volgens de Zwitserse onderzoeker Nicolas Krassas mogelijk niet alle risico’s weg. Hij stelt dat de patch de aanvalsroutes van twee kritieke kwetsbaarheden blokkeert, maar dat drie andere manieren om misbruik te maken nog zouden werken. Krassas zegt daarvoor werkende proof-of-conceptcode te hebben gepubliceerd, zonder zijn bevinding vooraf met het PHP-beveiligingsteam te bespreken. Op Reddit en LinkedIn wordt zijn claim kritisch besproken.

Daarnaast meldde de Duitse onderzoeker Elise Amber Katze een afzonderlijke geheugenkwetsbaarheid bij de PHP-ontwikkelaars. Volgens haar werkt de bijbehorende demonstratie ook op versie 8.5.12. PHP-kernontwikkelaar Ilija Tovilo bevestigt dat het om een andere geheugenbug gaat, maar noemt die niet urgent. Misbruik zou bovendien moeilijker zijn dan bij de twee eerder bekendgemaakte kritieke problemen. PHP wordt wereldwijd gebruikt op 69,3 procent van de websites.