एक व्यापक रूप से साझा की जा रही PHP भेद्यता ध्यान आकर्षित कर रही है, लेकिन लेखक का तर्क है कि इसका एक्सप्लॉइट करना बहुत कठिन है। GitHub पर हज़ारों प्रूफ-ऑफ-कॉन्सेप्ट (proof-of-concept) एक्सप्लॉइट होने के बावजूद, लेखक को पता चला कि Docker में सीधे चलाए गए सामान्य PHP इंस्टेंस के विरुद्ध उनमें से कोई भी काम नहीं करता।
लेखक इस बग की तुलना Log4Shell, Heartbleed, Shellshock और YAML डिकोडिंग समस्या जैसी कुख्यात खामियों से करते हैं, जिन सभी को सार्वजनिक होने के कुछ ही घंटों के भीतर बॉटनेट द्वारा हथियार बना लिया गया था। लेखक के अनुसार, PHP के अधिकांश प्रूफ-ऑफ-कॉन्सेप्ट कोड लोकल-फ़ाइल-इनक्लूज़न (LFI) पर निर्भर हैं, यानी लक्ष्य सर्वर में पहले से ही एक अलग भेद्यता मौजूद होनी चाहिए जिससे हमलावर फ़ाइलें पढ़ सकें। लेखक का कहना है कि यह आवश्यकता इसे सुर्खियों की तुलना में कहीं कम गंभीर बग बना देती है।
लेखक बढ़ा-चढ़ाकर किए गए दावों को फैलाने के लिए AI टूल्स को भी दोषी ठहराते हैं। उनके अनुसार, कई लोगों ने मान लिया था कि बड़े भाषा मॉडल पैच डिफ़ से तुरंत काम करने वाली एक्सप्लॉइट चेन बना देंगे, और कुछ प्रूफ-ऑफ-कॉन्सेप्ट कोड इसी तरह तैयार होते प्रतीत होते हैं, कभी-कभी परीक्षण सर्वर को ही असुरक्षित बनाने के लिए बदलकर।
लेखक यह भी जोड़ते हैं कि Claude और GPT जैसे टूल्स पर व्यापक निर्भरता पूरे उद्योग में एकरूप डिज़ाइन और निर्णय ला रही है। फिर भी, लेखक इस बात पर ज़ोर देते हैं कि यह खामी वास्तविक है और महत्वपूर्ण है, लेकिन मौजूदा साक्ष्य यह नहीं दिखाते कि कोई तैयार, व्यापक रूप से उपयोग योग्य एक्सप्लॉइट मौजूद है।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित