Multiples vulnérabilités dans les produits F5 (19 octobre 2026)

Une ventilation Latio des informations de sécurité critiques d'octobre: PHP2Shell, Node, React, Gitlab, Railway, LiteLLM, etc.

Les 72 dernières heures ont été rugueuses pour presque toutes les équipes de sécurité, puisque deux vulnérabilités PHP nouvellement divulguées, CVE-2026-109618 et CVE-2026-109619, ont touché la plupart de l'internet. Ces divulgations de vulnérabilité se sont produites aux côtés d'autres vulnérabilités hautement prioritaires dans Gitlab, Node et React, ainsi que d'incidents majeurs pour OpenCode, LiteLLM et Railway.

PHP exécute près de 70% de tous les sites Web (en grande partie en raison de la prévalence de Wordpress), et ces vulnérabilités affectent presque tous, comme ils sont présents dans les moteurs d'exécution. Si vous n'avez pas encore patché, Les écritures de Wiz et les ressources d'intervention sont très utiles, tout comme Calcul de la vulnérabilité. PHP 5.4 à travers PHP 8 sont affectés (bonnes nouvelles, si vous n'avez pas patché dans 20 ans, vous êtes dans le clair). Critiquement, cela signifie une migration forcée vers PHP 8 comme la seule version majeure prise en charge.

Mis à part l'exercice d'incendie, les divulgations de vulnérabilité PHP ont suscité un débat et une certaine déception au sein de la communauté. La conversation a porté essentiellement sur deux questions : qui mérite d'être reconnu pour avoir découvert les vulnérabilités et pourquoi certaines informations ont été publiées avant la levée de l'embargo. Peu importe ce que vous ressentez à propos des problèmes, les deux reflètent la nouvelle réalité de la découverte de vulnérabilité et de l'assainissement.

La nouvelle norme pour la découverte de la vulnérabilité

Le premier débat a porté sur qui a découvert les vulnérabilités PHP en premier : l'utilisateur Wiz ou X CLFR au Calif. Alors que le blog PHP confirme sans ambiguïté que la LCFR a d'abord identifié les vulnérabilités, cela ne signifie pas que l'équipe de recherche de Wiz-S n'a pas trouvé indépendamment aussi. La question plus large est de s'adapter à la réalité qui a émergé en premier dans la recherche de logiciels malveillants open-source: plusieurs chercheurs découvriront indépendamment le même problème à des moments similaires. En d'autres termes, "qui était le premier" est plus difficile à distinguer, et pas aussi significatif qu'il l'était autrefois. Il devient également plus murkier pour déterminer à la lumière des nombreuses initiatives privées de recherche sur la vulnérabilité, en particulier en ciblant les bibliothèques libres populaires.

Il y a deux points à préciser:

1. Une attribution et un calendrier appropriés sont toujours importants pour ne pas négliger le travail acharné des nombreuses personnes impliquées dans la découverte et la correction d'une vulnérabilité

2. Maintenant que plusieurs équipes utilisent les mêmes outils d'IA en même temps, ne pas être premier

Étant donné le nombre croissant d'initiatives fermées ou partiellement fermées des laboratoires d'IA frontaliers, nous devrions nous attendre à ce que les chevauchements de découvertes se produisent plus fréquemment. À mesure que davantage d'équipes construiront et déploieront leurs propres outils de sécurité alimentés par l'IA, la découverte indépendante de vulnérabilité deviendra un résultat de plus en plus courant. C'est l'un des inconvénients de la privatisation de la recherche et de la gestion de vulnérabilité, une tendance que nous avons écrite sur ici.

Au fur et à mesure que le marché navigue sur cette nouvelle norme, il faut mettre moins l'accent sur les personnes qui ont d'abord trouvé une vulnérabilité et plutôt sur les orientations claires et réalisables. Le crédit à la découverte est toujours important et je suis toujours un fan d'appeler les individus qui conduisent la recherche sur la sécurité, mais il est de plus en plus difficile d'établir définitivement qui était le premier, et la conversation peut rapidement passer à une course sur qui publie le premier blog. Ce n'est pas une façon particulièrement utile de mesurer la valeur de la recherche sur la sécurité - le crédit devrait aller là où le crédit est dû, et il doit être clair que OpenAI, Calif et Wiz semblent tous avoir été la clé dans la divulgation et la correction.

Il est important de donner aux équipes de recherche le bénéfice du doute, que ce soit de grandes entreprises comme Wiz ou de petites entreprises comme Calif. Il faut se rappeler que même au sein des grandes entreprises, Très une petite communauté de personnes effectuant un travail difficile, souvent dans le but commun de rendre les logiciels plus sûrs. Nous devons veiller à ne pas perdre de vue la substance de la recherche dans les débats sur l'attribution et les impressions. Je préférerais que nous soyons reconnaissants à toutes les personnes impliquées pour leur travail en rendant l'internet plus sûr.

Les limites de la divulgation coordonnée

La deuxième controverse a été la Fondation PHP critiquer Chainguard pour publier une image PHP corrigée avant la levée de l'embargo. Les violations de l'embargo sont regrettables, en particulier lorsque la divulgation coordonnée est essentielle pour donner aux défenseurs le temps de réparer. Toutefois, des incidents comme celui-ci soulignent la difficulté croissante de coordonner la divulgation dans un écosystème de sécurité de plus en plus décentralisé, où de nombreux fournisseurs et organisations-cadres s'efforcent tous de protéger leurs clients le plus rapidement possible.

Chainguard peut être l'exemple le plus visible dans ce cas, mais il n'a pas été la dernière organisation à se trouver en train de naviguer ces pressions concurrentes; encore une fois, c'est un reflet de l'endroit où l'industrie va et la nouvelle normale. Il n'est toujours pas clair si les exploits ont été repérés ou non dans la nature, et quand les mesures d'atténuation et les embargos peuvent avoir été déployés trop tôt par diverses équipes.

Par exemple, nous travaillons avec plusieurs fournisseurs qui effectuent de vastes recherches sur les tests de l'IA, l'analyse statique et la vulnérabilité. Ces équipes investissent toutes dans la découverte de vulnérabilités de source ouverte, tant pour la reconnaissance concurrentielle que pour la protection des clients. Les découvertes parallèles, les délais de divulgation qui se chevauchent et la course aux mesures d'atténuation des navires deviennent de plus en plus difficiles à naviguer, car les repos à source ouverte populaires sont scannés par de nouveaux modèles et harnais sur une base continue.

Le défi va au-delà de la détection jusqu'à l'assainissement. Sans patch en amont, les fournisseurs peuvent mettre au point des correctifs indépendants qui diffèrent les uns des autres, ce qui complique le patchage en aval et pourrait introduire de nouvelles vulnérabilités. C'est la nouvelle norme : un écosystème de vulnérabilité décentralisé dans lequel la découverte, la divulgation et l'assainissement ne suivent pas toujours une voie coordonnée. Les embargos et la divulgation coordonnée demeurent importants, mais ils ne peuvent pas synchroniser de façon fiable tous les chercheurs, les fournisseurs et les publications dans un monde où de nombreuses équipes scrutent en permanence les mêmes bibliothèques, en soumettant des problèmes à leurs responsables sous-financés.

Le défi sous-jacent est que l'écosystème de sécurité devient plus privé et qu'il est distribué dans les sociétés de gestion de fournisseurs, alors que bon nombre de ses pratiques de divulgation établies ont été conçues autour d'un nombre plus restreint de participants étroitement coordonnés, avec l'hypothèse de capacités de découverte limitées. Bref, nous allons devoir nous attendre à plus d'atténuations pour expédier plus tôt, car il devient moins clair quand un exploit est disponible, et qui a découvert quelle vulnérabilité. Les embargos ne sont pas leur défense.

Plus d'ECR sont sous exploitation active

Alors que PHP a dominé les titres, ce n'était pas la seule découverte majeure de vulnérabilité ce mois-ci. Vulnérabilités critiques d'exécution de code à distance LabGit, Noeud, Suivantet Plex Il convient également de souligner combien d'équipes de sécurité ont dû faire face en peu de temps. Il semble que nous soyons au bord d'un tout2shell.

Bien que chacune de ces vulnérabilités ait des échéanciers intéressants à part entière : de Gitlab qui a besoin de plusieurs correctifs pour corriger correctement, à Node et Gitlab qui ont tous deux recours à une solution privée et à une approche ultérieure, l'un des principaux choix est que les organisations doivent commencer leur programme de gestion de la vulnérabilité avec une stratégie de correction et d'atténuation d'abord, et une stratégie d'intervention de détection deuxième. En d'autres termes, une stratégie mensuelle « critique » n'est pas une solution efficace.

Typiquement, la bonne réponse à la question de savoir comment réduire nos vulnérabilités est triple :

1. Quels atouts pouvez-vous corriger dans un délai d'une heure? Les microservices modernes et facilement déployables qui ne sont pas des applications d'état devraient avoir des voies claires pour le patching rapide.

2. Pour les actifs que vous ne pouvez pas patch, quelle est la stratégie d'atténuation? Typiquement une combinaison d'outillage WAF et CADR, parfois des fournisseurs de patching rétroportés.

3. Si un exploit arrivait, comment le détecteriez-vous ? Exiger un mélange de logs d'extrémité, de nuage et de réseau.

Il convient de répondre à ces trois questions avant de se concentrer sur la correction d'actifs importants et critiques uniquement au besoin. Une fois de plus, l'IA introduit une nouvelle norme de vulnérabilités à impact élevé pour les projets à source ouverte largement distribués, les équipes doivent préparer de manière proactive leurs stratégies de patching et d'atténuation - ce qui signifie avoir une stratégie de mise à jour même lorsque les vulnérabilités ne sont pas présentes.

Cette semaine, à côté des informations importantes sur la vulnérabilité, plusieurs compromis importants ont été constatés sur les projets à source ouverte et fermée : Chemin de fer, Ouvrir le codeet LiteLLM. Il est clair que l'impact réel de l'IA du point de vue du risque est la façon dont il augmente la probabilité d'attaques - les attaques complexes sont beaucoup plus réalisables pour l'acteur de menace moyen.

Au cours des trois incidents, les agresseurs ont ciblé des références sensibles. Il y a deux couches de ces incidents qui méritent d'être prises en considération : premièrement, la probabilité de rupture de la chaîne d'approvisionnement en tant qu'attaques d'IA augmente la sophistication, deuxièmement, l'importance de pouvoir faire tourner et gérer correctement vos jetons API, traditionnellement classés comme sécurité d'identité non humaine (NHI). Railway a déclaré dans leur divulgation que - -Nous croyons que cela fait partie d'une série d'attaques récemment ciblant les compagnies de plate-forme dans le but de compromettre les fournisseurs d'inférence AI. Des attaques sophistiquées visent les plateformes de la chaîne d'approvisionnement pour accéder aux entreprises.

Deuxièmement, la possibilité de faire une rotation rapide des titres de compétences est un processus difficile mais de plus en plus nécessaire. Les équipes devraient mettre en place une stratégie de rotation de toutes les références. Même lorsque vous utilisez des outils de gestion de titres comme Hashicorp Vault, des défis subsistent parce que votre application en cours d'exécution a besoin d'accéder à un secret non chiffré stocké en mémoire - ce qui signifie qu'il n'y a jamais une situation où la rotation est un résultat impossible. Idéalement, vos clés tournent automatiquement de toute façon, mais c'est une capacité plus mature que beaucoup d'équipes n'ont pas. Les solutions NHI peuvent également aider à résoudre ce problème, mais ont différents compromis selon leur approche et leur architecture.

L'IA ne transforme pas radicalement les fondamentaux de la sécurité : les équipes auraient toujours dû être préparées pour les ruptures de chaîne d'approvisionnement, les patchs rapides et la rotation des titres. L'IA modifie toutefois la vitesse et la sophistication des équipes à préparer. De toute évidence, les informations sur la vulnérabilité sont de plus en plus nombreuses, et les attaques sophistiquées sont de plus en plus courantes. Avoir une posture forte, des correctifs, des mesures d'atténuation et des capacités d'intervention en cas d'incident.

De plus, la nature de la découverte et de la divulgation de la vulnérabilité s'accroît rapidement, car les communautés privatisées travaillent aux côtés de chercheurs indépendants, ce qui rend mal clair qui divulgue quoi, quand et quelles capacités d'atténuation sont disponibles. À mon avis, la simplicité est toujours meilleure : rendre le patching facile tout en ayant l'outil d'atténuation nécessaire est la seule vraie solution.

© 2026 James Berthoty
548 Market Street PMB 72296, San Francisco, CA 94104
Désabonnement