Il 28 ottobre 2026 Jay Gazlay, vicedirettore ad interim di CISA per la gestione delle vulnerabilità, ha criticato la pubblicazione anticipata delle patch PHP di Chainguard. La divulgazione coordinata era prevista per il 21 ottobre; secondo quanto riferito dalla PHP Foundation, le patch di Chainguard uscirono con oltre sei ore di anticipo.
Perché CISA ha criticato le patch anticipate
Gazlay ha definito pericolosa la scelta di Chainguard durante una conferenza di Red Hat a Washington. La questione riguarda i tempi: nella divulgazione coordinata, alcune aziende ricevono in anticipo le informazioni su una vulnerabilità per preparare le correzioni prima che diventino pubbliche. La PHP Foundation ha avvertito che, una volta pubblicata una patch, gli aggressori possono studiarla mentre altri utenti aspettano ancora di aggiornare i propri sistemi.
La vicenda riguarda la tempistica delle correzioni, distinta dalle versioni interessate e corrette trattate nella precedente copertura di NeoTeo sulle patch PHP.
Che cosa indicano i diversi segnali di sfruttamento
Le ricerche di Amazon Web Services (AWS) collocavano alcuni tentativi di sfruttamento già al 17 ottobre. La PHP Foundation ha dichiarato che, al momento della divulgazione pubblica, il suo team non aveva individuato exploit funzionali. Sono due valutazioni diverse: i tentativi segnalati non equivalgono alla conferma di un exploit funzionante.
Gazlay ha inoltre detto che gli analisti di CISA, dopo giorni di analisi con modelli, avevano creato una prova di concetto funzionante all’interno dell’infrastruttura dell’agenzia. Una prova di concetto, o PoC, dimostra che un exploit può funzionare in una determinata configurazione. Alcuni giorni dopo la divulgazione pubblica, ricercatori hanno confermato un exploit funzionante. CISA ha inserito la vulnerabilità nel catalogo Known Exploited Vulnerabilities (KEV) il 26 ottobre.
La voce KEV, i tentativi segnalati e la conferma di un exploit sono indicatori distinti; nessuno di questi misura da solo quanto sia facile sfruttare la vulnerabilità o quanto siano diffusi gli attacchi riusciti. Joe Slowik, direttore della ricerca sulle minacce di Dataminr, ha detto di non aver visto prove pubbliche a sostegno della decisione anticipata e che, al momento dei suoi commenti, la vulnerabilità non era stata sfruttata su larga scala.
Perché Chainguard ha pubblicato le patch in anticipo
Il CEO di Chainguard, Dan Lorenc, ha difeso la decisione citando le informazioni già circolate, la capacità dell’azienda di individuare autonomamente la vulnerabilità e costruire un exploit, e le prove di attività malevola. Per Lorenc, un tentativo da parte di un aggressore può rendere urgente l’intervento anche prima di un attacco riuscito.
Il disaccordo riguarda quindi anche la soglia d’intervento: Lorenc ha ritenuto sufficienti gli indizi disponibili, mentre Slowik ha contestato che le prove pubbliche giustificassero la pubblicazione anticipata. Slowik ha definito l’episodio una valutazione da cui imparare, ma si è opposto a escludere Chainguard dalle future discussioni sulla divulgazione coordinata.
