PHP全系曝兩遠程代碼執行漏洞 披露流程洩露致利用提前擴散

PHP項目於2026年10月21日發佈安全更新，覆蓋整個PHP 8.x系列，修復兩個遠程代碼執行漏洞。據Simon Willison在10月21日的博文披露，由於協同披露流程出現洩露，相關利用代碼自10月20日晚間起已在網絡上傳播，升級被視為當務之急。

洩露經過與官方應對

PHP基金會在一篇說明中還原了事件經過。2026年10月20日（週二）約15:00 UTC，兩個CVE編號開始在網絡論壇和社交媒體上流傳，同時附帶了一個錯誤的發佈時間和一個錯誤的CVSS評分——流傳的評分為10.0，而實際評分為9.2。基金會強調，當時並未有技術細節洩露。

作為回應，PHP項目將預公告提前至19:30 UTC發佈，並將原定於10月22日14:00 UTC的正式發佈提前到10月21日14:00 UTC。這一系列調整旨在搶在漏洞細節進一步擴散之前讓用戶完成升級。

概念驗證視頻誤發加劇擴散

洩露和預公告還引發了次生風險。據PHP基金會說明，在10月20日約20:00 UTC，報告該問題的安全公司之一Calif誤發佈了一段視頻，視頻展示了其概念驗證針對多個目標的有效性，並透露了少量關於漏洞的額外細節。視頻被刪除後，副本很快在社交媒體上流傳。

該視頻助長了各類概念驗證（PoC）利用的加速開發，隨後在10月21日進一步擴大了傳播範圍。

Simon Willison在博文中指出，如果你正在運行任何基於PHP的服務，升級至關重要。他同時提到，最初發現該漏洞的團隊所撰寫的文章包含了更詳細的原始預定響應時間線。

後續關注點

目前，PHP 8.x全系列的更新已經發佈，但漏洞利用的擴散態勢仍在持續。此次事件暴露出協同披露機制在信息管控環節的脆弱性：CVE編號提前外洩、錯誤評分誤導公眾、報告方誤發演示視頻，均在不同階段加速了漏洞細節的傳播。對於仍在使用受影響PHP版本的用戶而言，盡快完成升級是當前最直接的防護手段。