PHP 发布修复两处远程代码执行漏洞的安全更新，披露流程泄漏促使版本提前发布

2026年10月21日 - Link Blog

今日 PHP 安全版本发布，以及我们如何加强 PHP 安全性（来源）如果你运行任何 PHP 程序，务必进行升级——今天发布的更新（涵盖整个 PHP 8.x 系列）修复了两个远程代码执行漏洞。由于协调披露流程出现信息泄露，从昨晚起已有漏洞利用代码在流传。

PHP Foundation 的这篇文章解释了事情为何会出这么大的差错：

10月20日星期二，约 15:00 UTC，两个 CVE 编号开始在网络论坛和社交媒体上流传。相关信息附带了错误的发布时间，以及错误的 CVSS 10.0 评分（实际评分为 9.2）。没有技术细节泄露。作为回应，PHP 项目提前发布了预告，并在 19:30 UTC 发布。项目还将发布时间从10月22日 14:00 UTC提前至10月21日 14:00 UTC […]

由于信息泄露以及约 20:00 UTC 发布的预告，报告了这些问题的安全公司之一 Calif 误发布了一段视频。视频展示了他们的概念验证如何针对多个目标运行，并披露了有关漏洞的少量额外细节，但内容有限。被删除的视频副本很快开始在社交媒体上流传。这段视频加快了各种 PoC（漏洞利用概念验证）的开发，进而导致它们在10月21日传播得更广。

发现原始漏洞的团队发布的这篇文章，提供了原定负责任披露流程更详细的时间线：

• 2026年8月19日：Wiz Research 使用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 发现了首个 PHP 漏洞。
• 2026年8月20日：确认可针对 Drupal 实现未经身份验证的 RCE。
• 2026年8月21日：确认可针对 WordPress 实现未经身份验证的 RCE。
• 2026年8月24日：Wiz Research 向 PHP 安全团队报告了这些漏洞。
• 2026年9月21日：PHP 确认收到报告，并开始制定协调修复方案。
• 2026年10月21日：修复版 PHP 发布。
• 2026年10月21日：公开披露。