Sebuah kerentanan PHP yang banyak dibagikan kini menarik perhatian, tetapi penulis berpendapat bahwa kerentanan ini jauh dari mudah dieksploitasi. Meskipun ada ribuan eksploit proof-of-concept (PoC) di GitHub, penulis menemukan bahwa tidak satu pun berfungsi terhadap instans PHP standar ketika dijalankan langsung di Docker.
Penulis membandingkan celah ini dengan kerentanan terkenal seperti Log4Shell, Heartbleed, Shellshock, dan masalah dekode YAML, yang semuanya dengan cepat dijadikan senjata oleh botnet dalam hitungan jam setelah diungkap. Sebagian besar kode PoC PHP, catat penulis, bergantung pada local-file-inclusion (LFI), yang berarti server target harus sudah memiliki kerentanan terpisah yang memungkinkan penyerang membaca berkas. Menurut penulis, persyaratan tersebut membuat bug ini jauh kurang berbahaya dibandingkan yang diberitakan.
Penulis juga menyalahkan alat AI karena menyebarkan klaim yang dibesar-besarkan. Banyak orang, menurut penulis, mengira model bahasa besar dapat langsung membangun rantai eksploitasi yang berfungsi dari diff patch, dan sebagian kode PoC tampaknya dihasilkan dengan cara ini, kadang dengan memodifikasi server pengujian agar menjadi rentan.
Penulis menambahkan bahwa ketergantungan luas pada alat seperti Claude dan GPT menghasilkan keputusan desain dan penilaian yang seragam di seluruh industri. Meski begitu, penulis menegaskan bahwa celah ini nyata dan penting, dan bukti yang ada saat ini memang belum menunjukkan adanya eksploit siap pakai yang luas penggunaannya.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing