PHP因漏洞披露泄漏紧急发布修复

关键信息

据文章介绍，漏洞编号于10月20日约15:00 UTC在网上流传，附带的发布时间和CVSS 10.0评分有误；当时最初没有技术细节泄漏。之后，一家安全公司误发了展示概念验证针对目标运行的视频，视频删除后仍有副本继续传播。

资讯摘要

Simon Willison在2026年10月21日发布的链接文章称，PHP用户应尽快升级，因为PHP 8.x系列更新修复了两个远程代码执行漏洞。协调披露流程遭到泄漏后，利用代码已经开始传播。PHP基金会表示，两个CVE编号于10月20日约15:00 UTC出现在论坛和社交媒体上，所附发布时间有误，CVSS评分也被错误地标为10.0；实际评分为9.2。PHP将预告提前至19:30 UTC发布，并把原定10月22日14:00 UTC的正式发布时间提前到10月21日14:00 UTC。

约在20:00 UTC，一家报告过相关问题的安全公司Calif误发视频，展示其概念验证在多个目标上运行，并透露了少量额外信息。视频虽被删除，副本却继续传播，推动更多概念验证利用代码加速开发并于10月21日扩散。Wiz Research的时间线称，该团队于8月19日发现首个漏洞，随后在8月20日和21日分别确认可对Drupal和WordPress实施无需身份验证的远程代码执行，并于8月24日向PHP报告；PHP于9月21日确认报告，修复版本和公开披露则于10月21日发布。

来源与参考

1. 原始链接
2. Today’s PHP Security Release, and How We’re Strengthening PHP Security