Bir açığın hayatındaki en tehlikeli an, kamuya açıldığı gün değildir. Hemen öncesidir: saldırganın çalışan bir sömürüye sahip olduğu, savunucunun ise kuracak hiçbir şeyi olmadığı günlerdir.
Wired'ın haberine göre bir dizi PHP açığında tam olarak bu yaşandı: sömürü, yamalar yayınlanmadan günler önce başladı. Bu sıralama önemli. O aralıkta açıklar fiilen aktif kullanımdaki sıfır gün açıklarıydı ve internetteki her PHP kurulumu — tek bir sanal sunucuda dönen küçük bir forumdan binlerce müşteri sitesini barındıran paylaşımlı hostinge kadar — uygulanacak bir düzeltme olmadan açıkta kaldı.
PHP'nin konumu bu maruziyeti alışılmadık biçimde genişletiyor. Web'in hâlâ büyük bir bölümünü taşıyor ve bunun önemli kısmı, kodu kontrol eden kişi ile güncelleme takvimini kontrol eden kişinin aynı olmadığı paylaşımlı altyapıda çalışıyor. Pazartesi yayınlanan bir yama, pazartesi kurulan bir yama anlamına gelmiyor; dağıtımlar, kontrol panelleri ve hosting sağlayıcıları kendi gecikmelerini ekliyor.
Pratik ders yeni değil ama tekrar tekrar öğreniliyor: risk eğrisinin bir kuruluşun gerçekten kontrol ettiği kısmı, "düzeltme var" ile "düzeltme kuruldu" arasındaki aralıktır. Kullanımdaki PHP sürümlerinin envanteri, yükseltmenin adı konmuş bir sahibi olması ve denenmiş bir geri alma yolu, dolaşımdaki sömürüler hakkında herhangi bir tehdit istihbaratından fazlasını yapar.
Wired'ın haberi sömürü penceresinin kaydı; etkilenen sürümler ve tanımlayıcılar projenin kendi duyurusunda yer alıyor ve çalışan bir kurulumla karşılaştırılacak belge odur.
