Una vulnerabilidad de PHP muy compartida está atrayendo atención, pero el autor sostiene que está lejos de ser fácil de explotar. A pesar de que existen miles de exploits de prueba de concepto (proof-of-concept) en GitHub, el autor descubrió que ninguno funciona contra una instancia estándar de PHP cuando se ejecuta directamente en Docker.
El autor contrasta este fallo con defectos infames como Log4Shell, Heartbleed, Shellshock y el problema de decodificación de YAML, todos los cuales fueron rápidamente armados por botnets en cuestión de horas tras su divulgación. La mayor parte del código de prueba de concepto de PHP, señala el autor, depende de la inclusión de archivos locales (LFI), lo que significa que el servidor objetivo debe contener previamente otra vulnerabilidad que permita a los atacantes leer archivos. Según el autor, ese requisito hace que este sea un fallo mucho menos grave de lo que sugieren los titulares.
El autor también culpa a las herramientas de IA por difundir afirmaciones exageradas. Muchas personas, argumenta, asumieron que los grandes modelos de lenguaje podrían construir al instante cadenas de exploits funcionales a partir del diff del parche, y parte del código de prueba de concepto parece haberse generado de esta manera, en ocasiones modificando el servidor de pruebas para que fuera vulnerable.
El autor añade que el uso generalizado de herramientas como Claude y GPT está produciendo decisiones de diseño y de criterio uniformes en toda la industria. Aun así, subraya que la falla es real e importante, y que la evidencia actual simplemente no demuestra la existencia de un exploit listo para usar y ampliamente utilizable.
Fuente: Hacker News · Resumido por HeadlinesBriefing