Am 28. Oktober kritisierte Jay Gazlay, kommissarischer stellvertretender Direktor für Schwachstellenmanagement bei CISA, auf einer Red-Hat-Konferenz Chainguards vorzeitige PHP-Patches. Nach Angaben der PHP Foundation waren sie mehr als sechs Stunden vor dem für den 21. Oktober geplanten Termin zur koordinierten Veröffentlichung erschienen. Gazlay bezeichnete die Entscheidung als gefährlich.
Warum die abgestimmte Veröffentlichung wichtig ist
Bei einer koordinierten Offenlegung erhalten ausgewählte Sicherheitsfirmen Informationen über eine Schwachstelle vorab. So können sie Patches vorbereiten und zum vereinbarten Termin veröffentlichen. Die PHP Foundation warnte, dass Angreifer einen Patch vorab untersuchen könnten, während andere PHP-Nutzer noch auf ihre Korrekturen warteten.
Die Foundation sagte außerdem, Teile der Informationen über die Schwachstelle seien bereits in den zwei Tagen vor der geplanten Offenlegung durchgesickert. Chainguard-CEO Dan Lorenc führte die bereits kursierenden Informationen und Hinweise auf bösartige Aktivitäten als Gründe für die frühe Veröffentlichung an.
Was die verschiedenen Exploit-Hinweise aussagen
Berichten zufolge verwies AWS-Forschung auf Ausnutzungsversuche, die am 17. Oktober begonnen hatten. Zu diesem Zeitpunkt war die geplante koordinierte Veröffentlichung noch vier Tage entfernt. Die PHP Foundation erklärte, ihr Sicherheitsteam habe zum Zeitpunkt der öffentlichen Offenlegung keinen funktionierenden Exploit identifiziert.
Am 26. Oktober nahm CISA die Schwachstelle in den Katalog „Known Exploited Vulnerabilities“ (KEV) auf. Ein KEV-Eintrag ist keine Einstufung der Ausnutzungsschwierigkeit oder der Verbreitung erfolgreicher Angriffe. Ein funktionierender Exploit wurde erst einige Tage nach der öffentlichen Offenlegung bestätigt.
Gazlay sagte außerdem, CISA-Analysten hätten nach mehrtägiger Analyse mit Modellen einen funktionierenden Proof of Concept innerhalb der eigenen Infrastruktur erstellt. Ein Proof of Concept (PoC) ist ein Machbarkeitsnachweis für die Ausnutzung einer Schwachstelle. Joe Slowik, Forschungsdirektor bei Dataminr, sagte, er habe keine öffentlich verfügbaren Belege gesehen, die Chainguards frühe Veröffentlichung rechtfertigten. Zum Zeitpunkt seiner Äußerung sei die Schwachstelle zudem nicht im großen Maßstab ausgenutzt worden.
Warum Chainguard und andere Fachleute anders urteilten
Lorenc erklärte, Chainguard habe die Schwachstelle selbstständig finden und einen Exploit entwickeln können. Zusammen mit den bereits kursierenden Informationen und Hinweisen auf bösartige Aktivitäten habe das die frühe Veröffentlichung aus Sicht des Unternehmens gerechtfertigt. Für Lorenc war ein möglicher Angriffsversuch relevant, auch wenn Angreifer damit nicht erfolgreich waren.
Slowik bewertete die öffentlich sichtbaren Hinweise anders. Zugleich sprach er sich dagegen aus, Chainguard von künftigen Offenlegungsrunden auszuschließen. Ramy Rahman von ArmorCode plädierte ebenfalls für ein ausgewogenes Vorgehen und Zusammenarbeit. Lorenc sagte, die Kriterien für koordinierte Offenlegungen müssten klarer werden.
PHP veröffentlicht Fixes für CVE-2026-109618 und CVE-2026-109619
