@MarloesdeKoning @brenno @bert_hubert @wiert
HET grote verschil tussen 'business as usual' en 'wat hier met PHP gebeurde' is dit:
Er worden regelmatig gaten gevonden in software, ook gaten met een hele hoge score. In een normale situatie worden die middels een proces wat we 'responsible disclosure' noemen eerst gemeld aan de partij die de software maakt zodat die de tijd hebben (krijgen) om het gat te fixen.
Zo'n fix wordt dan (buiten de publieke kanalen om) gedeeld met partijen die de software verspreiden (distributies, grote integrators etc) zodat ook die de tijd hebben om de verspreiding voor elkaar te krijgen.
Op het moment dat de patch uitgerold is (dat wordt dan in het geval van een probleem ook groots aangekondigd) wordt pas publiek gemaakt wat het probleem was (zodat andere softwaremakers daar van kunnen leren en zodat gatenzoekers ook bekend als 'hackers' daar van kunnen leren).
In dit geval kwam (door een onhandigheidje) enkele dagen voor dat de patches beschikbaar werden naar buiten wat het gat was en wel op zo'n manier dat je daar makkelijk een exploit (waarbij je dat gat gebruikt om toegang te krijgen) van kunt maken.
Omdat je met AI modellen veel sneller dan vroeger een exploit in elkaar kunt draaien waren er ook al snel 'in het wild' meldingen dat er gebruik gemaakt werd van het gat.
En DAAROM werd deze keer aangeraden 'zet alles maar even uit wat gebruik maakt van PHP' want immers, als het niet bereikbaar is kun je ook geen gebruik maken van de gaten in de software.
