Simon Willison's Weblog

Today's PHP Security Release, and How We're Strengthening PHP Security

8.5内容质量

TL;DR · AI 摘要

PHP 8.x紧急修复两个远程代码执行漏洞，因协调披露泄露导致提前发布，安全团队调整发布时间并加速修复。

核心要点

  • PHP 8.x所有版本均需升级以修复两个高危RCE漏洞
  • CVE编号泄露导致CVSS评分误标为10.0（实际9.2）
  • Wiz Research于2026年8月19日首次发现该漏洞

结构提纲

按章节快速跳转。

  1. §紧急安全更新

    PHP团队因协调披露泄露事件提前发布安全补丁

  2. ·漏洞详情

    两个未认证远程代码执行漏洞影响PHP 8.x全系列版本

  3. ›披露过程

    CVE编号提前泄露导致安全评分误标并加速PoC开发

  4. ·修复措施

    PHP团队于2026年10月21日发布补丁并调整发布时间

  5. ›事件影响

    泄露事件导致安全公司误发漏洞演示视频并加速PoC传播

思维导图

用一张图看清主题之间的关系。

查看大纲文本（无障碍 / 无 JS 友好）
  • PHP安全更新与泄露事件
    • 漏洞详情
      • RCE漏洞影响PHP 8.x全系列
    • 披露过程
      • CVE编号泄露导致评分误标
      • 安全团队调整发布时间
    • 事件影响
      • Calif误发视频加速PoC传播

金句 / Highlights

值得收藏与分享的关键句。

#PHP#安全漏洞#协调披露#RCE#Wiz Research
打开原文

今日 PHP 安全更新及 PHP 安全强化措施

Simon Willison 的博客

新闻通讯

#smallhead

由以下公司赞助：

Teleport

— AI 代理（及其生成的子代理）被赋予与人类相同的访问权限，但它们从不睡眠。学习如何通过隔离的临时可信运行时监控和限制它们的行为。

2026 年 10 月 21 日 - 链接博客

今日 PHP 安全更新及 PHP 安全强化措施 (via) 如果你正在运行任何 PHP 应用，升级至关重要 —— 今日针对整个 PHP 8.x 系列的更新修复了两个远程代码执行漏洞。由于协调披露流程中的泄露，自昨晚起已有利用代码在传播。

PHP 基金会的这篇博文解释了事情为何失控：

10 月 20 日星期二 UTC 时间 15:00 左右，两个 CVE 编号开始在在线论坛和社交媒体上流传。它们附带了错误的发布时间和错误的 CVSS 评分 10.0（实际评分为 9.2）。没有技术细节泄露。作为回应，PHP 项目提前发布了预公告，并在 UTC 时间 19:30 发布。它还将原定于 UTC 时间 10 月 22 日 14:00 的发布日期提前至 UTC 时间 10 月 21 日 14:00 [...] 由于泄露和预公告在 UTC 时间 20:00 左右发生，Calif（一家报告该问题的安全公司）错误地发布了一段视频。视频展示了他们的概念验证攻击针对多个目标有效，并透露了一些额外但有限的漏洞细节。该视频被删除后，其副本很快在社交媒体上开始传播。这段视频加速了各种 PoC（利用概念验证）的开发，随后在 10 月 21 日大幅传播。

发现原始漏洞团队的这篇文章包含原始负责任披露计划的详细时间线：

2026 年 8 月 19 日：Wiz Research 使用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 发现了第一个 PHP 漏洞。2026 年 8 月 20 日：确认针对 Drupal 的未认证远程代码执行。2026 年 8 月 21 日：确认针对 WordPress 的未认证远程代码执行。2026 年 8 月 24 日：Wiz Research 向 PHP 安全团队报告了这些漏洞。2026 年 9 月 21 日：PHP 承认报告并开始制定协调修复方案。2026 年 10 月 21 日：修复后的 PHP 版本发布。2026 年 10 月 21 日：公开披露。

发布于

2026 年 10 月 21 日

下午 6:41

最新文章

  • 《Battle Drones》—— 一款基于音频多人联机的 RTS 游戏 —— 2026 年 10 月 20 日
  • 你好 Python 3.15，再见 Python 3.10，现在我可以使用 Python 3.11 —— 2026 年 10 月 12 日
  • 我的博客新增语音驱动功能 —— 2026 年 10 月 9 日
  • Claude Haiku 5.5 —— 2026 年 10 月 7 日

#primary

这是 Simon Willison 于 2026 年 10 月 21 日发布的链接文章。

open-source

324

php

191

security

640

ai

2,289

ai-security-research

49

月度简报

每月赞助 10 美元，获取本月最重要的 LLM 发展精选邮件摘要。

支付我以减少推送！

赞助并订阅

.metabox

#secondary

#wrapper

  • 披露信息
  • 制作说明
  • ©
  • 2002
  • 2003
  • 2004
  • 2005
  • 2006
  • 2007
  • 2008
  • 2009
  • 2010
  • 2011
  • 2012
  • 2013
  • 2014
  • 2015
  • 2016
  • 2017
  • 2018
  • 2019
  • 2020
  • 2021
  • 2022
  • 2023
  • 2024
  • 2025
  • 2026