今日的 PHP 安全版本发布，以及我们如何加强 PHP 安全（via）如果你在 PHP 上运行任何东西，升级至关重要——今天的更新（覆盖整个 PHP 8.x 系列）修复了两个远程代码执行漏洞，而且由于协同披露过程中的泄露，从昨晚开始就已经有漏洞利用在流传。
PHP Foundation 的这篇文章解释了问题出在哪里：
10 月 20 日星期二，大约 UTC 15:00，这两个 CVE 编号开始在在线论坛和社交媒体上流传。它们附带了错误的发布时间和错误的 CVSS 评分 10.0（实际评分为 9.2）。没有技术细节泄露。作为回应，PHP 项目提前了其预公告，于 UTC 19:30 发布。它还将发布时间从 10 月 22 日 UTC 14:00 提前到 10 月 21 日 UTC 14:00 [...]
由于泄露以及 UTC 20:00 左右的预公告，Calif——报告这些问题的安全公司之一——误发布了一段视频。视频展示了他们的概念验证针对多个目标生效，并透露了关于这些漏洞的一些额外但有限的细节。被删除视频的副本很快开始在社交媒体上流传。该视频促成了各种 PoC（漏洞利用概念验证）的加速开发，进而增加了 10 月 21 日的传播。
发现原始漏洞的团队撰写的这篇文章包含了原始预期负责任披露的更详细时间线：
- 2026 年 8 月 19 日：Wiz Research 使用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 发现了第一个 PHP 漏洞。
- 2026 年 8 月 20 日：确认针对 Drupal 的未认证 RCE。
- 2026 年 8 月 21 日：确认针对 WordPress 的未认证 RCE。
- 2026 年 8 月 24 日：Wiz Research 向 PHP 安全团队报告了这些漏洞。
- 2026 年 9 月 21 日：PHP 确认收到报告，并开始开发协同修复方案。
- 2026 年 10 月 21 日：修补后的 PHP 版本发布。
- 2026 年 10 月 21 日：公开披露。