今日 PHP 安全更新，以及我们如何加强 PHP 安全性

# 今日 PHP 安全更新，以及我们如何加强 PHP 安全 来源：https://simonwillison.net/2026/Oct/21/php-security-release/ 2026 年 10 月 21 日 \- 链接博客 **今日 PHP 安全更新，以及我们如何加强 PHP 安全 (https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/)**\(经由 (https://news.ycombinator.com/item?id=50182987)\) 如果你有任何服务运行在 PHP 上，务必升级 \- 今天的更新\(覆盖整个 PHP 8\.x 系列\)修复了两个远程代码执行漏洞。由于协调披露流程发生泄密，从昨晚开始就已有漏洞利用程序流传\。 PHP 基金会的这篇文章解释了事情为何会如此失控： > 10 月 20 日星期二，UTC 时间约 15:00，这两个 CVE 编号开始在网络论坛和社交媒体上传播，同时还附带了错误的发布时间和错误的 CVSS 评分 10\.0\(实际评分为 9\.2\)\。没有技术细节泄露\。作为应对，PHP 项目提前于 UTC 时间 19:30 发布了预告 (https://www.php.net/archive/2026.php#2026-10-20-1)\。项目还将发布时间从 10 月 22 日 UTC 时间 14:00 提前至 10 月 21 日 UTC 时间 14:00 \[\.\.\.\] 由于此次泄密及预告发布，UTC 时间约 20:00，报告这些问题的安全公司之一 Calif 误发布了一段视频\。视频展示了他们的概念验证代码在多个目标上成功运行，并透露了有关漏洞的一些额外但有限的细节\。视频删除后不久，其副本便开始在社交媒体上传播\。这段视频加速了各种 PoC\(漏洞利用概念验证代码\)的开发，这些代码随后在 10 月 21 日进一步广泛传播\。 发现最初漏洞的团队在这篇文章 (https://www.wiz.io/blog/php2shell-php-rce)中，提供了原定负责任披露流程的更详细时间线： > - **2026 年 8 月 19 日：**Wiz Research 使用 Wiz Atlas、Gemini 4 Argon 和 GPT\-5\.6 Sol 发现了第一个 PHP 漏洞\。 - **2026 年 8 月 20 日：**确认可针对 Drupal 实施未经身份验证的远程代码执行\。 - **2026 年 8 月 21 日：**确认可针对 WordPress 实施未经身份验证的远程代码执行\。 - **2026 年 8 月 24 日：**Wiz Research 向 PHP 安全团队报告这些漏洞\。 - **2026 年 9 月 21 日：**PHP 确认收到报告，并开始协调开发修复方案\。 - **2026 年 10 月 21 日：**修复漏洞的 PHP 版本发布\。 - **2026 年 10 月 21 日：**公开披露\。