PHP项目于2026年10月21日发布安全更新，覆盖整个PHP 8.x系列，修复两个远程代码执行漏洞。据Simon Willison在10月21日的博文披露，由于协同披露流程出现泄露，相关利用代码自10月20日晚间起已在网络上传播，升级被视为当务之急。
泄露经过与官方应对
PHP基金会在一篇说明中还原了事件经过。2026年10月20日（周二）约15:00 UTC，两个CVE编号开始在网络论坛和社交媒体上流传，同时附带了一个错误的发布时间和一个错误的CVSS评分——流传的评分为10.0，而实际评分为9.2。基金会强调，当时并未有技术细节泄露。
作为回应，PHP项目将预公告提前至19:30 UTC发布，并将原定于10月22日14:00 UTC的正式发布提前到10月21日14:00 UTC。这一系列调整旨在抢在漏洞细节进一步扩散之前让用户完成升级。
概念验证视频误发加剧扩散
泄露和预公告还引发了次生风险。据PHP基金会说明，在10月20日约20:00 UTC，报告该问题的安全公司之一Calif误发布了一段视频，视频展示了其概念验证针对多个目标的有效性，并透露了少量关于漏洞的额外细节。视频被删除后，副本很快在社交媒体上流传。
该视频助长了各类概念验证（PoC）利用的加速开发，随后在10月21日进一步扩大了传播范围。
Simon Willison在博文中指出，如果你正在运行任何基于PHP的服务，升级至关重要。他同时提到，最初发现该漏洞的团队所撰写的文章包含了更详细的原始预定响应时间线。
后续关注点
目前，PHP 8.x全系列的更新已经发布，但漏洞利用的扩散态势仍在持续。此次事件暴露出协同披露机制在信息管控环节的脆弱性：CVE编号提前外泄、错误评分误导公众、报告方误发演示视频，均在不同阶段加速了漏洞细节的传播。对于仍在使用受影响PHP版本的用户而言，尽快完成升级是当前最直接的防护手段。