PHP 发布安全更新修复两个远程代码执行漏洞

2026年10月21日 - 链接博客

今天的 PHP 安全版本发布，以及我们如何加强 PHP 安全（via）如果你正在运行任何 PHP 相关的东西，升级至关重要——今天的更新（覆盖整个 PHP 8.x 系列）修复了两个远程代码执行漏洞，而且由于协同披露流程中的泄露，从昨晚开始就已经有漏洞利用在流传。

PHP 基金会的这篇文章解释了问题出在哪里：

10 月 20 日星期二 UTC 约 15:00，两个 CVE 编号开始在在线论坛和社交媒体上流传。它们附带了错误的发布时间和错误的 CVSS 评分 10.0（实际评分为 9.2）。没有技术细节泄露。作为回应，PHP 项目提前了预公告，于 UTC 19:30 发布。它还将发布时间从 10 月 22 日 UTC 14:00 提前到 10 月 21 日 UTC 14:00 [...]

由于泄露以及 UTC 20:00 左右的预公告，报告这些问题的安全公司之一 Calif 误发布了一段视频。视频展示了他们的概念验证针对多个目标生效，并透露了关于这些漏洞的一些额外但有限的细节。被删除视频的副本很快开始在社交媒体上流传。该视频促成了各种 PoC（漏洞利用概念验证）的加速开发，进而增加了 10 月 21 日的传播。

发现原始漏洞的团队撰写的这篇文章包含了原定负责任披露的更详细时间线：

• 2026 年 8 月 19 日：Wiz Research 使用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 发现了第一个 PHP 漏洞。
• 2026 年 8 月 20 日：确认针对 Drupal 的未认证 RCE。
• 2026 年 8 月 21 日：确认针对 WordPress 的未认证 RCE。
• 2026 年 8 月 24 日：Wiz Research 向 PHP 安全团队报告了这些漏洞。
• 2026 年 9 月 21 日：PHP 确认收到报告并开始开发协同修复。
• 2026 年 10 月 21 日：修补后的 PHP 版本发布。
• 2026 年 10 月 21 日：公开披露。