Nếu bạn đang chạy bất kỳ thứ gì trên PHP thì việc nâng cấp là rất cần thiết - bản cập nhật hôm nay (trên toàn bộ dòng PHP 8.x) vá hai lỗ hổng thực thi mã từ xa, và từ tối đa qua đêm đã có những exploit lưu hành, nhờ một vụ rò rỉ trong quy trình tiết lộ có phối hợp. Bài viết từ PHP Foundation giải thích những gì đã đi sai: Vào thứ Ba, ngày 20 tháng 10, lúc khoảng 15:00 UTC, hai CVE IDs đã lan truyền trên các diễn đàn trực tuyến và mạng xã hội. Chúng đi kèm với thời gian phát hành sai và điểm số CVSS sai là 10.0 (điểm số thực là 9.2). Không có bất kỳ chi tiết kỹ thuật nào bị rò rỉ. Để ứng phó, dự án PHP đã đưa thông báo trước ra mắt và xuất bản lúc 19:30 UTC. Họ cũng chuyển lịch phát hành từ ngày 22 tháng 10, 14:00 UTC sang ngày 21 tháng 10, 14:00 UTC [...] Kết quả là do vụ rò rỉ và thông báo trước xuất bản khoảng 20:00 UTC, Calif, một trong những công ty bảo mật đã báo cáo những vấn đề này, đã nhầm lẫn đăng tải một video. Video đó cho thấy proof of concept của họ hoạt động chống lại một số mục tiêu và tiết lộ một vài chi tiết bổ sung, dù hạn chế, về những lỗ hổng bảo mật.
Nguồn chính
- SOURCEwired.com