美國網安局官員斥提早發布修補屬「危險」
美國網絡安全及基礎設施安全局（CISA）負責漏洞管理的署理副總監 Jay Gazlay，10 月 28 日在 Red Hat 於華盛頓舉辦的會議上，批評保安公司 Chainguard 提早發布 PHP 漏洞修補的做法「危險」及「不恰當」。據 Federal News Network 10 月 30 日報道，Gazlay 說：「這類行為是危險的，我們要小心守住保密期。」他又指，業界見到有人打破保密期，必須表明「這是不可以的」，否則對方只會一再重犯。
CISA 拒絕安排 Gazlay 接受進一步訪問。
事件經過：比協調時間早六小時
事件涉及兩個被統稱為 PHP2Shell 的嚴重漏洞。PHP 是大量網站後台使用的程式語言，漏洞可讓攻擊者遙距在伺服器上執行程式。據 Politico 10 月 21 日報道，漏洞由 OpenAI 的工具發現，美國及歐洲、澳洲、加拿大等地的網絡安全機構當日促請機構立即把受影響網站下線，有專家估計漏洞可能影響多達七成網站。
按「協調披露」的慣例，Chainguard 這類保安公司會預先獲知漏洞資料，以便準備修補，讓用戶在漏洞公開一刻即可更新。據 PHP 基金會所指，Chainguard 卻比各方約定的 10 月 21 日發布時間早超過六小時推出修補版本。基金會在網誌寫道：「任何攻擊者都可以趁其他 PHP 用戶仍在等待之際，研究這個修補的二進位版本。」
據 The New Stack 報道，修補發布前漏洞資料已開始外洩：兩個漏洞編號在 10 月 20 日流出，其後又有一段示範攻擊的影片被意外公開。
Chainguard 稱容易做出攻擊程式
Chainguard 行政總裁 Dan Lorenc 在 LinkedIn 解釋，決定是基於公司「能夠輕易獨立發現漏洞並寫出攻擊程式」、外界已流傳不少相關資訊，以及有證據顯示漏洞已被用於實際攻擊。
不過 PHP 基金會表示，雖然發布前兩日已有部分資料外洩，其保安團隊在發布時「沒有發現任何可運作的攻擊程式」。Federal News Network 指，有研究找到最早在 10 月 17 日的攻擊嘗試，但研究人員在正式披露後數日才確認有可運作的攻擊程式；CISA 在 10 月 26 日把漏洞列入「已知被利用漏洞」名單。
Gazlay 的說法與 Lorenc 形成對比。他表示，為了利用這個 PHP 漏洞，CISA 有「世界上最好的分析師」使用頂尖 AI 模型研究了「很多很多天」，才做出可運作的概念驗證攻擊程式。
Lorenc 堅持立場
Lorenc 接受 Federal News Network 訪問時表示，他維持在 LinkedIn 的說法，但歡迎外界批評，亦尊重 Gazlay，同意業界須繼續協調披露。他認為，即使未有攻擊成功的確切證據，只要漏洞已落入意圖不軌的人手中，便足以構成提早發布的理由。他又指，前沿 AI 實驗室加快了發現及利用漏洞的速度，令整個軟件供應鏈承受「很大的壓力」，希望 CISA 牽頭制訂框架。
資料分析公司 Dataminr 的威脅研究總監 Joe Slowik 則指，未見有公開證據支持 Chainguard 的決定。他說，漏洞披露後約一星期才似乎被實際製成武器，至今亦未見大規模利用；在 AI 年代，提早公開修補只會讓全球攻擊者有更多時間研究。
暫時未有留言
提交留言即表示你已閱讀我們的私隱政策。