Equipe avaliou alternativas de conserto que traziam custos altos para o ecossistema e isso travou o trabalho. A fundação relata que uma opção quebrava a compatibilidade com versões anteriores, outra poderia abrir risco de negação de serviço, e uma terceira exigiria mudanças em milhares de extensões de terceiros.
Modelo de decisão por consenso e equipe pequena contribuíram para o atraso, segundo a própria fundação. “Não vamos fingir o contrário: o atraso foi uma falha estrutural, causada tanto pelo processo de decisão da equipe de segurança quanto pela falta de recursos”, escreveu a PHP Foundation em um post no blog.
Correções foram publicadas nesta semana depois que informações sobre as falhas começaram a circular antes do anúncio planejado. A fundação afirma que antecipou a comunicação e adiantou o lançamento do patch de 22 para 21 de outubro, para tentar reduzir o risco enquanto distribuidores ainda empacotavam a atualização.
Vazamentos e quebras de embargo aceleraram a corrida por exploração pública, de acordo com o relato. “Isso desconsiderou semanas de trabalho de muitas partes em direção a uma divulgação coordenada”, escreveu a PHP Foundation ao citar a publicação antecipada de imagens com o conserto por um fornecedor.
A fundação afirma que ferramentas de inteligência artificial têm acelerado a descoberta de falhas de software. Embora isso possa ajudar a identificar problemas mais rapidamente, também aumenta o volume de relatórios que precisam ser analisados pelas equipes de segurança.
O PHP é uma das tecnologias mais usadas para construir sites e aplicações web. Quando uma falha grave é descoberta em componentes centrais da linguagem, milhões de serviços podem ser afetados. O caso também chama atenção para outro problema: a manutenção de parte da infraestrutura da internet depende de equipes pequenas e recursos limitados, mesmo quando essas ferramentas são utilizadas por organizações do mundo inteiro.
