PHP修复两项远程代码执行漏洞，披露泄漏促使补丁提前发布
Simon Willison5 天前
PHP 8.x发布紧急安全更新
2026年10月21日，PHP 8.x系列发布安全更新，修复两项远程代码执行（RCE）漏洞。相关漏洞的实际CVSS评分为 9.2，并非此前在网络上流传的10.0。
披露时间线显示，研究人员曾分别在Drupal和WordPress上确认未经身份验证的远程代码执行。但这不意味着所有部署环境都必然可被利用，具体影响仍需结合漏洞条件和部署配置判断。
协调披露为何失控？
10月20日约15:00（UTC），两个CVE编号开始在论坛和社交媒体传播，同时流传的还有错误的补丁发布时间及CVSS评分。当时尚未泄漏技术细节。
PHP项目随后调整了披露与发布安排：
- 将预公告提前至 10月20日19:30（UTC） 发布。
- 将补丁发布时间从 10月22日14:00（UTC） 提前至 10月21日14:00（UTC）。
10月20日约20:00（UTC），参与报告漏洞的安全公司Calif误发了一段视频，展示了漏洞概念验证在多个目标上的运行效果，并暴露了少量额外技术细节。
视频随后被删除，但副本很快在社交媒体上传播。这加速了多种利用概念验证（PoC）的开发，其传播在10月21日进一步扩大。PoC流传不等同于已确认发生大规模实际攻击，两者需要区分。
漏洞发现与修复时间线
| 日期（2026年） | 事件 |
|---|---|
| 8月19日 | Wiz Research发现首个PHP漏洞 |
| 8月20日 | 在Drupal上确认未经身份验证的远程代码执行 |
| 8月21日 | 在WordPress上确认未经身份验证的远程代码执行 |
| 8月24日 | 向PHP安全团队报告漏洞 |
| 9月21日 | PHP确认收到报告，并开始协调修复 |
| 10月21日 | 修复版本发布，漏洞公开披露 |
PHP用户需要关注什么？
运行PHP应用的团队应优先核对相关安全公告，确认自身版本是否受影响，并安排升级。
这里未列出具体CVE编号、受影响的小版本范围及修复版本号，因此不能仅凭“PHP 8.x”判断某个部署已经安全，也不宜把上述Drupal、WordPress验证结果直接推广到所有站点。