PHP Foundation reconhece atrasos em correções de segurança e anuncia reforços

A Fundação PHP publicou um comunicado explicando as vulnerabilidades divulgadas recentemente e por que demoraram tanto para ser corrigidas. O time de segurança enfrentou um problema de esgotamento de memória (OOM) que gerou várias abordagens concorrentes, cada uma com seus próprios dilemas: quebra de compatibilidade com versões antigas, novo potencial de negação de serviço, ou exigência de mudanças em muitas extensões de terceiros — o que se mostrou impossível de coordenar.

A equipe de segurança do PHP operava por consenso e teve dificuldade em escolher entre as opções, temendo as consequências de implementar a solução errada. Somado à falta de um caminho conhecido para execução remota de código e ao reduzido número de desenvolvedores principais com conhecimento profundo do engine (ocupados com muitas responsabilidades), esse processo de decisão fez o trabalho nas correções parar e recomeçar repetidas vezes ao longo de meses. A fundação reconhece: o atraso foi uma falha estrutural, causada tanto pelo processo de decisão do time de segurança quanto pela falta de recursos.