2026年10月21日 - 链接博客

今日的PHP安全发布，以及我们如何加强PHP安全（via）如果你在运行任何PHP相关的东西，升级至关重要——今日的更新（覆盖整个PHP 8.x系列）解决了两个远程代码执行漏洞，并且由于协调披露过程中的泄露，自昨晚起已有利用代码在流传。

这篇来自PHP基金会的帖子解释了出了什么问题：

在10月20日星期二，大约UTC时间15:00，两个CVE ID开始在在线论坛和社交媒体上传播。它们附带了错误的发布时间以及错误的CVSS评分10.0（实际评分为9.2）。没有技术细节泄露。作为回应，PHP项目提前了其预公告，并于UTC时间19:30发布。它还将发布从10月22日UTC 14:00提前到10月21日UTC 14:00 [...]

由于泄露和大约UTC时间20:00的预公告，报告这些问题的安全公司之一Calif错误地发布了一段视频。视频展示了他们的概念验证针对多个目标有效，并揭示了关于漏洞的一些额外但有限的细节。删除视频的副本很快在社交媒体上传播。该视频加速了各种PoC（利用概念验证）的开发，这些PoC随后在10月21日增加了传播。

这篇来自发现原始漏洞的团队的文章包括了原始预期负责任披露的更详细时间线：

2026年8月19日：Wiz Research使用Wiz Atlas、Gemini 4 Argon和GPT-5.6 Sol发现了第一个PHP漏洞。

2026年8月20日：针对Drupal确认了未认证RCE。

2026年8月21日：针对WordPress确认了未认证RCE。

2026年8月24日：Wiz Research向PHP安全团队报告了这些漏洞。

2026年9月21日：PHP确认报告并开始开发协调修复。

2026年10月21日：修补后的PHP版本可用。

2026年10月21日：公开披露。