Широко распространённая уязвимость PHP привлекает внимание, однако автор утверждает, что её далеко не просто эксплуатировать. Несмотря на тысячи эксплойтов-доказательств концепции (proof-of-concept) на GitHub, автор выяснил, что ни один из них не работает против стандартного экземпляра PHP при прямом запуске в Docker.
Автор сравнивает эту ошибку с печально известными уязвимостями, такими как Log4Shell, Heartbleed, Shellshock и проблема декодирования YAML, которые были быстро превращены в оружие ботнетами в течение нескольких часов после раскрытия. Большая часть кода доказательств концепции для PHP, отмечает автор, зависит от локального включения файлов (LFI), то есть на целевом сервере уже должна присутствовать отдельная уязвимость, позволяющая злоумышленникам читать файлы. По мнению автора, это условие делает данную ошибку гораздо менее серьёзной, чем предполагают заголовки.
Автор также возлагает вину на инструменты искусственного интеллекта за распространение преувеличенных заявлений. Многие, по его словам, предполагали, что большие языковые модели способны мгновенно построить работающие цепочки эксплуатации на основе диффа патча, и часть кода доказательств концепции, похоже, была сгенерирована именно так, а иногда и с изменением тестового сервера, чтобы сделать его уязвимым.
Автор добавляет, что широкое использование таких инструментов, как Claude и GPT, приводит к единообразным проектным и аналитическим решениям во всей отрасли. Тем не менее он подчёркивает, что уязвимость реальна и важна, а текущие данные просто не показывают наличия готового, широко применимого эксплойта.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing