Em 28 de outubro, Jay Gazlay, diretor associado interino de gestão de vulnerabilidades da CISA, criticou a Chainguard por antecipar a publicação de patches para PHP. A PHP Foundation informou que os patches saíram mais de seis horas antes da divulgação coordenada prevista para 21 de outubro.
O que Jay Gazlay criticou
Gazlay disse que antecipar a divulgação ameaça a confiança necessária para coordenar correções. Nesse processo, organizações selecionadas recebem informações sobre uma vulnerabilidade com antecedência para preparar patches e liberá-los junto ao anúncio público. A PHP Foundation afirmou que a publicação antecipada permitiu que atacantes analisassem a correção enquanto outros usuários do PHP ainda aguardavam os patches.
Em uma cobertura relacionada, a NeoTeo reuniu versões do PHP corrigidas para duas falhas críticas.
O que os indícios de exploração registraram
Uma pesquisa atribuída à Amazon Web Services (AWS) apontou tentativas de exploração a partir de 17 de outubro, antes da data prevista para a divulgação coordenada. A PHP Foundation disse que sua equipe não havia identificado um exploit funcional no momento da divulgação pública.
Gazlay também relatou que analistas da CISA, após vários dias de análise com modelos, produziram uma prova de conceito funcional dentro da infraestrutura da própria agência. Pesquisadores confirmaram um exploit funcional dias depois da divulgação pública. São marcos distintos: tentativas relatadas, uma prova de conceito interna e a confirmação posterior de um exploit funcional.
Em 26 de outubro, a CISA incluiu a vulnerabilidade no catálogo Known Exploited Vulnerabilities (KEV), sua lista de vulnerabilidades conhecidas como exploradas. Joe Slowik, da Dataminr, disse que não via evidências públicas que justificassem a decisão da Chainguard e avaliou que a falha não havia sido explorada em larga escala quando comentou.
Por que Chainguard defendeu a antecipação
Dan Lorenc, CEO da Chainguard, disse que informações sobre a vulnerabilidade e as correções já circulavam. Ele também afirmou que a empresa conseguiu identificar a falha de forma independente, construir um exploit e observar sinais de atividade maliciosa. Essa foi a justificativa de Lorenc para publicar os patches antes do previsto.
Slowik discordou da suficiência das evidências públicas, mas se opôs a excluir a Chainguard de futuras conversas sobre divulgação coordenada. Ele também observou que, na era da inteligência artificial, o ciclo de análise pode ficar mais curto. Ramy Rahman, da ArmorCode, pediu equilíbrio e colaboração na divulgação responsável.
