Någon som vet hur man utnyttjar hålet?
Svårt att säga eftersom det rör sig om en hel hög med ganska allvarliga säkerhetshål, men det värsta är väl att det går att få unserialize() att exekvera i princip godtycklig kod. Har man en applikation som skickar cookiedata, dolda formulärfält eller liknande via klienten för att sedan köra det hela genom unserialize() har klienten möjlighet att ställa till med en otrolig massa problem på serversidan.
Är iofs inte alltför överraskad, givet att php har ett enormt api nästan helt implementerat i C och med ganska bristande kvalitetskontroll, och det här är ju långtifrån det första säkerhetshålet som dyker upp (definitivt inte det sista heller, för den delen). För att måla fan på väggen skulle jag inte bli alltför förvånad ifall php blir ett mål för framtida massattacker precis som IIS blev för ett par år sedan, men jag hoppas verkligen att jag har fel.
