Une faille PHP largement partagée attire l'attention, mais l'auteur soutient qu'elle est loin d'être facile à exploiter. Malgré des milliers d'exploits de preuve de concept (proof-of-concept) disponibles sur GitHub, l'auteur a constaté qu'aucun ne fonctionnait contre une instance PHP standard lorsqu'elle était exécutée directement dans Docker.
L'auteur compare ce bogue à des failles tristement célèbres comme Log4Shell, Heartbleed, Shellshock et le problème de décodage YAML, qui avaient toutes été rapidement armées par des botnets dans les heures suivant leur divulgation. La plupart des codes de preuve de concept PHP, note l'auteur, dépendent d'une inclusion de fichiers locaux (LFI), ce qui signifie que le serveur cible doit déjà contenir une autre vulnérabilité permettant aux attaquants de lire des fichiers. Selon l'auteur, cette condition rend ce bogue bien moins grave que ne le laissent entendre les gros titres.
L'auteur accuse également les outils d'IA d'avoir propagé des affirmations exagérées. Beaucoup de gens, selon lui, ont supposé que les grands modèles de langage pourraient instantanément construire des chaînes d'exploitation fonctionnelles à partir du diff du correctif, et certains codes de preuve de concept semblent avoir été générés de cette façon, parfois en modifiant le serveur de test pour le rendre vulnérable.
L'auteur ajoute que le recours généralisé à des outils comme Claude et GPT produit des décisions de conception et de jugement uniformes dans tout le secteur. Il insiste néanmoins sur le fait que la faille est réelle et importante, et que les preuves actuelles ne démontrent tout simplement pas l'existence d'un exploit prêt à l'emploi et largement utilisable.
Source: Hacker News · Résumé par HeadlinesBriefing