Chainguard verdedigt vroegtijdig vrijgeven PHP-patch
Dan Lorenc, oprichter van beveiliger Chainguard, heeft via LinkedIn openheid van zaken gegeven over het besluit om de patches voor het kritieke PHP-lek voortijdig vrij te geven. Hoewel de PHP Foundation en de betrokken onderhouders de beslissing luidruchtig bekritiseerden, verdedigt Lorenc de keuze door te wijzen op aanwijzingen dat de kwetsbaarheid al actief in het wild werd misbruikt.
Het beveiligingsbedrijf werd op de hoogte gebracht van de kwetsbaarheid in PHP en wist het lek binnen korte tijd onafhankelijk te reproduceren. Met behulp van een testomgeving en een geavanceerd AI-model slaagde Chainguard erin om via een eenvoudige opdracht beveiligingsfouten in de PHP-broncode te lokaliseren. Vervolgens hielp de organisatie mee met het testen van de officiële herstelpatches.
In de loop van de week versnelde de escalatie rond het incident. Waar begin deze week de eerste geruchten over het lek uitlekten, bevestigden meerdere beveiligingsbedrijven later de aanwezigheid van actieve exploitatie door kwaadwillenden. Voor Lorenc was dat het breekpunt om af te wijken van het oorspronkelijk afgesproken tijdschema voor gecoördineerde openbaarmaking. Na overleg met andere onderzoekers besloot hij de herstelde softwarebuilds direct publiekelijk toegankelijk te maken voor de gehele gemeenschap, en niet uitsluitend voor eigen klanten.
Afweging
Het besluit leidde tot felle kritiek van de PHP Foundation, die niet instemde met het vroegtijdig verbreken van het embargo. Lorenc betuigt spijt voor de extra druk op de PHP-onderhouders, maar blijft achter zijn afweging staan. Volgens hem was de beslissing ingegeven door de eenvoud waarmee de kwetsbaarheid te ontdekken en te misbruiken was, in combinatie met het feit dat de informatie al breed rondzong.
Volgens de beveiliger onderstreept het incident de toenemende complexiteit rond kwetsbaarheden in kritieke open-sourceinfrastructuur. Met de inzet van AI-modellen bij het opsporen van beveiligingslekken voorzien experts dat de tijd tussen ontdekking en misbruik steeds korter wordt, wat het traditionele proces van gecoördineerde openbaarmaking onder grote druk zet.
