Uma vulnerabilidade do PHP amplamente compartilhada está atraindo atenção, mas o autor argumenta que ela está longe de ser fácil de explorar. Apesar de existirem milhares de exploits de prova de conceito (proof-of-concept) no GitHub, o autor descobriu que nenhum deles funciona contra uma instância padrão do PHP quando executada diretamente no Docker.
O autor compara esse bug a falhas notórias como Log4Shell, Heartbleed, Shellshock e o problema de decodificação do YAML, todas rapidamente armadas por botnets em questão de horas após a divulgação. A maior parte do código de prova de conceito do PHP, observa o autor, depende de inclusão de arquivo local (LFI), o que significa que o servidor alvo já deve conter outra vulnerabilidade que permita aos atacantes ler arquivos. Segundo o autor, esse requisito torna este um bug muito menos severo do que sugerem as manchetes.
O autor também culpa as ferramentas de IA por espalhar afirmações exageradas. Muitas pessoas, argumenta, presumiram que grandes modelos de linguagem poderiam criar instantaneamente cadeias de exploração funcionais a partir do diff do patch, e parte do código de prova de conceito parece ter sido gerada dessa forma, às vezes modificando o servidor de testes para torná-lo vulnerável.
O autor acrescenta que a dependência generalizada de ferramentas como Claude e GPT está produzindo decisões de design e de julgamento uniformes em todo o setor. Ainda assim, ele ressalta que a falha é real e importante, e que as evidências atuais simplesmente não mostram a existência de um exploit pronto e amplamente utilizável.
Fonte: Hacker News · Resumido por HeadlinesBriefing