PHP-patch is er; zwakke eMudhra-sleutels houden niet-browserclients scherp

PHP-beheerders kunnen nu van voorbereiding naar uitrol: de aangekondigde kritieke release is verschenen. Een nieuwe technische analyse van het eMudhra-incident maakt daarnaast duidelijk waarom vooral systemen met een achterlopende trust store aandacht vragen. Onderzoek naar Qwen3-Coder werpt een toetsbare, maar nog niet onafhankelijk bevestigde vraag op over persona-afhankelijke codekwaliteit.

PHP 8.2.35 is gepubliceerd

De ochtendupdate van vandaag meldde twee kritieke PHP-patches die om 16:00 uur Nederlandse tijd werden verwacht. PHP 8.2.35 staat nu als getekende release in de officiële php-src-repository. Daarmee verschuift de directe actie van onderhoud voorbereiden naar de eigen package-, container- en deploymentroute controleren en uitrollen.

De beschikbare releasepagina geeft geen inhoudelijke beschrijving van de securityfixes. In de HN-discussie wordt gemeld dat ook releases voor andere ondersteunde branches beschikbaar zijn en dat advisories publiek zijn, maar behandel dat als discussie-informatie en verifieer de exacte versies en backports bij de distributie of leverancier die je werkelijk gebruikt.

Praktisch: controleer na de update de werkelijk draaiende PHP-versie, vernieuw eventuele basisimages en test upload-, sessie- en foutpaden in de eigen applicatie. Een GitHub-tag is geen bewijs dat een distro-package of officiële container al is bijgewerkt. PHP 8.2.35 · HN-discussie

eMudhra-incident blijkt achtbitsleutels te hebben gehad

De namiddagupdate van gisteren ging over Mozillas blokkade van acht gecompromitteerde eMudhra-intermediates. Een nieuwe technische analyse geeft een concrete verklaring: volgens de auteur hadden alle acht P-384-private sleutels slechts een waarde tussen 4 en 237. Omdat er dan hooguit 255 mogelijke waarden zijn, waren de sleutels uit de publieke certificaten af te leiden.

Dat maakt dit anders dan een gewone, op een moment gestolen CA-sleutel: volgens de analyse kon iedereen die de publieke certificaten sinds april 2025 zag, de sleutels al reconstrueren. De auteur schrijft de fout toe aan een zwak tweede sleutelpaar dat tijdens een ceremonie door een scriptbug werd gemaakt en vervolgens door menselijke verwarring in de CSR belandde; die toedracht komt uit eMudhra’s reactie op Mozillas incidentticket, zoals samengevat door de auteur.

Browsers met actuele Chrome-, Firefox- of Safari-mechanismen zijn volgens die analyse waarschijnlijk beschermd door blokkades en Certificate Transparency. De grotere restvraag zit bij niet-browserclients met een lokale CA-bundel die standaard geen revocation of CT controleren: denk aan buildagents, scripts, containers, SDK’s en apparaten met vastgezette firmware. De auteur demonstreerde acceptatie door enkele standaardclients op eigen systemen; dat is geen inventarisatie van alle stacks of bewijs dat verkeer daadwerkelijk is onderschept.

Inventariseer daarom vooral waar trust stores meeleveren: OS-CA-pakketten, certifi, Node, Homebrew en containerbasissen. Herbouw images zodra de basisimage de wijziging bevat. Voor niet-updatebare apparatuur is netwerksegmentatie een realistischer extra grens dan hopen op intrekking alleen. Technische analyse · HN-discussie

Hirundo ziet persona-afhankelijk risico bij Qwen3-Coder — maar de test is smal

Hirundo publiceert een case study rond Qwen3-Coder-30B-A3B-Instruct. In één Flask-taak voor geheime opslag genereerde het bedrijf per persona honderden apps en viel die vervolgens aan met BaxBench-exploits. Volgens de eigen resultaten was code voor een Amerikaanse defensieaannemer 19% vaker kraakbaar dan voor een Chinese tegenhanger (70% versus 59%); voor een Hongkongse democratieorganisatie zouden apps 28% vaker gegevens van andere gebruikers lekken dan bij een neutrale persona.

De interessante technische stap is dat Hirundo zegt de gepubliceerde gewichten lokaal met vaste instellingen te hebben gedraaid, en daarna een aangepaste variant te hebben getest. In die variant verdwenen de gemelde verschillen volgens het bedrijf, terwijl de uitkomst op tien andere BaxBench-taken ongeveer gelijk bleef. De studie documenteert aantallen, prompts en Fisher-exacttoetsen.

Dat is aanleiding om codingmodellen niet alleen op neutrale benchmarkprompts te evalueren, maar niet om dit als bewezen opzettelijke backdoor te presenteren. Hirundo verkoopt zelf de aangepaste gewichten, test hier één compact model en één hoofdtaak, en er is geen onafhankelijke reproductie. HN-deelnemers wijzen er bovendien op dat het basismodel voor alle persona’s vaak onveilige code produceerde en dat andere verklaringen voor het prompt-effect mogelijk zijn.

Voor teams die modelgegenereerde auth- of datatoegangscode gebruiken, is de robuuste les minder geopolitiek dan praktisch: pin modelversies, voer eigen securitytests uit met realistische context en laat kritieke wijzigingen reviewen en dynamisch testen. Een prompt die om veilige code vraagt, vervangt die controles niet. Case study, methode en aangepaste gewichten · HN-discussie met methodologische kritiek

Verder nog

• LayerFS wil agentwerk als versioned filesystem behandelen: het nieuwe project geeft iedere agent of shellactie een tijdelijke schrijfbare workspace bovenop gedeelde geschiedenis; gewijzigde acties worden als commits vastgelegd, terwijl forks volgens de maker metadata-only zijn. Het ontwerp belooft zo parallel werk, checkpoints, deduplicatie en behoud van dependencies die Git vaak negeert. Dat zijn productclaims zonder onafhankelijke duurzaamheids- of prestatietest; gebruik een nieuw bestandssysteem daarom niet voor waardevolle data zonder herstel- en foutproeven. LayerFS · HN-discussie
• curl maakt low- en medium-meldingen standaard publiek: vanaf 26 oktober vraagt het project zulke kwetsbaarheidsmeldingen als GitHub-issue in te dienen; alleen high en critical blijven in HackerOne privé. Projectleider Daniel Stenberg noemt de aanhoudende stroom meldingen als reden en verwacht dat publieke beoordeling werk en kennis kan delen. Dat verkort tegelijk het venster tussen melding en publieke zichtbaarheid voor kleinere problemen; downstreams moeten GitHub-issues dus als mogelijk securitysignaal blijven volgen. curl over de nieuwe disclosureprocedure · Lobsters-discussie