今日的 PHP 安全发布与如何加强 PHP 安全

今日的 PHP 安全发布与如何加强 PHP 安全（via）如果你在 PHP 上运行任何东西，升级至关重要——今天的更新（覆盖整个 PHP 8.x 系列）修复了两个远程代码执行（remote code execution，RCE）漏洞，而且由于协调披露流程中的泄露，从昨晚开始就已经有漏洞利用在传播。

PHP 基金会的这篇文章解释了问题出在哪里：

10 月 20 日星期二 UTC 约 15:00，两个 CVE 编号开始在在线论坛和社交媒体上流传。它们附带了一个错误的发布时间和一个错误的 CVSS 评分 10.0（实际评分为 9.2）。没有技术细节泄露。作为回应，PHP 项目提前了预公告，并于 UTC 19:30 发布。它还将发布时间从 10 月 22 日 UTC 14:00 提前到 10 月 21 日 UTC 14:00 […]

由于泄露和 UTC 20:00 左右的预公告，报告这些问题的安全公司之一 Calif 错误地发布了一段视频。视频展示了他们的概念验证（proof of concept）针对多个目标生效，并披露了一些额外但有限的漏洞细节。被删除的视频副本很快在社交媒体上流传。该视频加速了各种 PoC（漏洞利用概念验证）的开发，进而增加了 10 月 21 日的传播。

发现原始漏洞的团队的文章包含了更详细的原始负责任披露时间线：

2026 年 8 月 19 日：Wiz Research 使用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 发现了第一个 PHP 漏洞。

2026 年 8 月 20 日：确认针对 Drupal 的未认证 RCE。

2026 年 8 月 21 日：确认针对 WordPress 的未认证 RCE。

2026 年 8 月 24 日：Wiz Research 向 PHP 安全团队报告漏洞。

2026 年 9 月 21 日：PHP 确认收到报告并开始开发协调修复。

2026 年 10 月 21 日：修补后的 PHP 版本发布。

2026 年 10 月 21 日：公开披露。

发布于 2026 年 10 月 21 日 18:41。