跳至正文返回首页PHP 8.x 修复两个RCE漏洞：协调披露泄露后已有利用
- 前情提要：此前 Cloudflare 已在 php2shell 漏洞公开前部署 WAF，受影响范围包括 PHP 5.4 及以上；PHP 官方当时已发布安全公告。
- 最新发布：PHP 8.x 全系更新修复两个远程代码执行漏洞，运行 PHP 的站点需升级；PHP 基金会称，协调披露流程出现泄露，两个 CVE ID 提前在论坛和社交平台流传，利用代码自前一晚起已开始传播。
- 披露流程：10 月 20 日约 15:00 UTC，CVE ID 带着错误发布时间与错误 CVSS 10.0（实际为 9.2）流出；项目将预公告提前至 19:30 UTC，并把发布从 10 月 22 日提前到 10 月 21 日。一家安全公司误发 PoC 视频，展示对多个目标可用，推动更多 PoC 扩散。
- 时间线：Wiz 研究显示，8 月 19 日发现首个 PHP 漏洞，8 月 20 日确认对 Drupal 的未认证 RCE，8 月 21 日确认对 WordPress，8 月 24 日报告 PHP 安全团队，10 月 21 日补丁与公开披露。
- 行业意义：漏洞披露的协调环节本身成为风险源；提前泄露和误发 PoC 缩短了防守方的处置窗口。对依赖 PHP 的站点，运行时升级仍是根因处置，WAF 只能作为纵深防御的一层。
🔗 Simon Willison | PHP 基金会说明 | Wiz 时间线 | HN 讨论