Una discusión en Reddit pide revisar las actualizaciones de PHP

El material proporcionado es una publicación de Reddit al estilo ELI5 que advierte de que el uso que PHP hace de setjmp y longjmp, heredados de C, podría permitir a los atacantes encadenar fallos. El extracto no incluye una CVE ni una versión de PHP afectada. Tampoco aporta un aviso oficial ni una fecha.

La tesis principal sostiene que PHP está escrito en C y utiliza setjmp y longjmp para gestionar errores. Según el autor, el código de PHP habría tratado algunos errores de forma incorrecta desde aproximadamente 2004. La documentación ya describía entonces esos mecanismos de C como difíciles de seguir. La publicación afirma que un atacante podría provocar un error y combinarlo con otra vulnerabilidad. No aporta pruebas técnicas ni una lista de versiones afectadas.

El autor considera que los LLM pueden facilitar el encadenamiento de fallos pequeños y relaciona el supuesto riesgo con aplicaciones como WordPress y Drupal. Calcula que entre una cuarta parte y la mitad de los servidores web podrían estar expuestos, sin justificar esa estimación. Recomienda actualizar a versiones de PHP que ya no utilicen los mecanismos citados, aunque no da números de versión.

Entre las defensas propuestas figuran reducir la superficie de ataque y limitar la exposición prolongada de los datos. Reforzar la infraestructura y mantener los sistemas siguen en la lista. Practicar la respuesta ante incidentes la completa. AppArmor y SELinux aparecen como controles capaces de limitar los daños después de una intrusión. La publicación invoca la ley de Weinberg y compara el posible aumento de fallos en C con los descubrimientos impulsados por mejores herramientas de fuzzing. Su argumento es que los LLM descubren defectos existentes, no que los introduzcan.