Perforce P4 dient als zentrale Versionsverwaltung in Branchen mit besonders hohem Datenaufkommen, etwa der AAA-Spieleentwicklung und dem Halbleiterdesign. Genau dieser Stellenwert macht die Plattform für Angreifer attraktiv, sobald sie unzureichend abgesichert ist.
Robertsons Bestandsaufnahme im Frühjahr 2025 ergab ein deutliches Bild: Von den 6.122 erreichbaren Servern gewährten 72 Prozent über ein standardmäßig aktiviertes Remote-Konto unauthentifizierten Lesezugriff auf den Quellcode. Bei 21 Prozent der Instanzen war mindestens ein Konto ohne gesetztes Passwort vorhanden, was direkten Lese- und Schreibzugriff erlaubte. Auf 4 Prozent der Server fand er ein ungeschütztes „Superuser"-Konto, über das sich per Befehlsinjektion das gesamte System kompromittieren ließ. Zudem erlaubte die große Mehrheit der Systeme standardmäßig das Aufzählen von Benutzerkonten und gab Serverinformationen preis.
Zu den ungeschützten Systemen gehörten laut Robertson Server von AAA- und Indie-Spieleentwicklern, Universitäten, Animationsstudios, Firmen für interaktive Medien, Krypto-Projekten und Herstellern.
Bei der erneuten Prüfung waren von den 6.122 ursprünglich gefundenen Servern noch 2.826 unter ihrer alten IP-Adresse aktiv. Davon erlaubten 1.525 – rund 54 Prozent – weiterhin unauthentifizierten Lesezugriff auf den Quellcode über ein Remote-Konto. 501 Instanzen, also 17 Prozent der aktiven Server, ließen außerdem nach wie vor das vollständig unauthentifizierte Aufzählen von Benutzerkonten zu.
Einige der betroffenen Server gehören dem Forscher zufolge zu großen Organisationen, darunter ein regionaler Rüstungslieferant, mehrere Anbieter von Medizintechnik, ein nordamerikanischer Hersteller von Software für Strafverfolgungsbehörden, ein international tätiges Unternehmen für Industrieautomatisierung, ein nordamerikanisches Startup für kommerzielle Elektrofahrzeuge, ein asiatischer Anbieter von Kassen- und ERP-Software für den Einzelhandel sowie ein Hersteller von Bankensoftware. Diese Server legten hochsensible Informationen offen, darunter Kundendaten, interne Projekte, personenbezogene Daten, Zugangsdaten, Quellcode und Produktschemata.
Die genannten Zahlen bilden laut Robertson nur die öffentlich erreichbare Infrastruktur ab. „Eine erhebliche Zahl von Perforce-Servern steht ausschließlich in internen Netzwerken, ist aber mit genau denselben unsicheren Standardeinstellungen aufgesetzt", erklärte er. Wer als Angreifer, Innentäter oder im Rahmen eines Red Teams Fuß in einem Unternehmensnetz fasse, habe darüber vermutlich einen direkten Weg, um an kritisches geistiges Eigentum zu gelangen oder Rechte auszuweiten.
Perforce wurde vor rund einem Jahr über die Funde informiert und reagierte nach Angaben des Forschers rasch: Das Unternehmen deaktivierte das Remote-Benutzerkonto in der Standardkonfiguration und überarbeitete seine Dokumentation. In einem Blogbeitrag vom Mai 2025 betonte Perforce, die Wirksamkeit des Systems hänge stark von korrekter Konfiguration und Pflege ab; jeder in einem zu freizügigen Zustand belassene Server könne mit der Zeit zu Sicherheitslücken führen. Man solle davon ausgehen, dass ein mit dem Internet verbundener P4-Server irgendwann von einem Angreifer getestet werde.
Neben der Meldung an Perforce hat Robertson mehr als 60 der betroffenen Organisationen direkt auf die Offenlegung hingewiesen.