PHP 8.x 远程代码执行漏洞修复与安全加固措施

今日的 PHP 安全更新，以及我们如何加强 PHP 的安全性（via）如果你的线上服务在用 PHP，务必尽快升级——本次更新覆盖整个 PHP 8.x 系列，修复了两个远程代码执行漏洞。由于协调披露流程出现泄露，相关 exploit 从昨晚开始就已在流传。

PHP Foundation 的这篇文章解释了事情是怎么搞砸的：

10 月 20 日（周二）约 UTC 15:00，两个 CVE 编号开始在网上论坛和社交媒体上流传，附带了一个错误的发布时间和错误的 CVSS 评分 10.0（实际评分是 9.2），不过没有技术细节泄露。作为回应，PHP 项目提前了预公告，在 UTC 19:30 发布了公告，并把发布时间从原定的 10 月 22 日 UTC 14:00 提前到 10 月 21 日 UTC 14:00……

由于泄露加上 UTC 20:00 左右发布的预公告，最初报告这些漏洞的安全公司之一 Calif 误发了一段视频，展示了他们的 PoC 对多个目标生效，并额外泄露了一些细节（虽然有限）。被删除的视频副本很快在社交媒体上传播开来，加速了各种 PoC（漏洞利用验证代码）的开发，进而导致 10 月 21 日这些内容的大范围流传。

发现原始漏洞的 Wiz 团队撰文提供了更详细的时间线，即原本计划的责任披露流程：

• 2026 年 8 月 19 日：Wiz Research 使用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 发现了第一个 PHP 漏洞。
• 2026 年 8 月 20 日：确认可对 Drupal 实现无需身份验证的 RCE。
• 2026 年 8 月 21 日：确认可对 WordPress 实现无需身份验证的 RCE。
• 2026 年 8 月 24 日：Wiz Research 向 PHP 安全团队报告漏洞。
• 2026 年 9 月 21 日：PHP 确认收到报告，并开始着手协调修复。
• 2026年10月21日：发布 PHP 安全更新版本。
• 2026年10月21日：公开披露。