El 28 de octubre, Jay Gazlay, director asociado en funciones de gestión de vulnerabilidades de CISA, criticó a Chainguard por publicar los parches de PHP antes de la fecha coordinada. La PHP Foundation situó esa publicación el 21 de octubre, más de seis horas antes de la divulgación prevista.
Qué criticó CISA de la publicación anticipada
Gazlay calificó de peligrosa la decisión y defendió la importancia de respetar los periodos de embargo. En una divulgación coordinada, algunas empresas de seguridad reciben información sobre una vulnerabilidad por adelantado para preparar parches que puedan publicarse al mismo tiempo que el aviso público.
La PHP Foundation sostuvo que adelantar un parche puede dar a los atacantes la oportunidad de estudiar su versión binaria mientras otros usuarios todavía esperan la corrección. NeoTeo ya había cubierto las versiones de PHP que corrigieron dos fallos críticos; esta noticia se centra en el momento de publicar los parches y en la disputa que provocó.
Por qué Chainguard adelantó los parches
Dan Lorenc, director ejecutivo de Chainguard, defendió la decisión. Alegó que ya circulaba información sobre las vulnerabilidades y sus correcciones, que la empresa había podido descubrir el fallo y desarrollar un exploit por su cuenta, y que tenía indicios de actividad maliciosa. Esa fue la justificación de Lorenc para publicar antes de la fecha acordada.
La PHP Foundation dijo que, cuando se produjo la divulgación pública, su equipo de seguridad no había identificado un exploit funcional. También señaló que parte de la información sobre la vulnerabilidad se había filtrado durante los dos días previos a la fecha prevista.
Qué indican los distintos indicios de explotación
Los intentos de explotación, una prueba de concepto y los ataques a gran escala describen situaciones distintas. La investigación de Amazon Web Services (AWS) situó intentos de explotación desde el 17 de octubre, antes de la publicación de los parches. Días después de la divulgación pública, investigadores confirmaron un exploit funcional, según la cronología publicada.
Gazlay dijo que analistas de CISA generaron una prueba de concepto funcional dentro de la infraestructura de la agencia tras varios días de análisis con modelos. Una prueba de concepto demuestra que una técnica puede funcionar en determinadas condiciones; el trabajo que Gazlay describió tuvo lugar dentro de CISA.
CISA incorporó la vulnerabilidad a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 26 de octubre. La inclusión indica que la agencia la añadió a ese catálogo, pero por sí sola no mide la facilidad de explotación ni el alcance de los ataques. Joe Slowik, director de investigación de amenazas de Dataminr, afirmó que la vulnerabilidad aún no se había explotado a gran escala cuando hizo sus comentarios.
El desacuerdo sobre cuándo divulgar
Slowik dijo que no había visto pruebas públicas que justificaran la publicación anticipada, aunque se opuso a excluir a Chainguard de futuras conversaciones de divulgación. Ramy Rahman, de ArmorCode, pidió equilibrio y colaboración entre las organizaciones implicadas.
El desacuerdo es sobre cuándo la actividad observada basta para adelantar una corrección: Lorenc consideró suficientes los indicios de riesgo que describió, mientras que Slowik cuestionó que las pruebas públicas justificaran esa decisión. La confirmación posterior de un exploit funcional y la entrada en KEV no indican, por sí mismas, que hubiera explotación a gran escala.
