PHP 緊急修補遠端程式碼執行漏洞，協調揭露流程因外洩提前發布

PHP 基金會於 10 月 21 日緊急發布安全更新，修復 PHP 8.x 系列中兩個可導致遠端程式碼執行的嚴重漏洞。由於協調揭露過程中發生資訊外洩，官方將原定於 10 月 22 日的發布時間提前一天，並建議所有運行 PHP 的使用者立即升級。

AI 新聞雷達編輯團隊·本站收錄：2026/10/23 04:19（台灣時間）·閱讀約 2 分鐘

原文發布：2026/10/22 02:41（台灣時間）

本站收錄時間為新聞雷達完成整理的時間，不代表事件發生時間。原文日期僅在取得明確來源證據時顯示；未標示者請參閱下方原始來源。

30 秒掌握

本次更新修復兩個 CVSS 評分 9.2 的遠端程式碼執行漏洞，影響整個 PHP 8.x 版本線。

漏洞由 Wiz Research 於 8 月發現，原定協調揭露時間為 10 月 22 日，因社群提前流傳錯誤資訊而被迫提前發布。

發現過程使用了 Wiz Atlas、Gemini 4 Argon 及 GPT-5.6 Sol 等 AI 工具輔助分析。

緊急修補與版本影響範圍

PHP 基金會發布的安全更新涵蓋整個 PHP 8.x 系列，主要修復兩個遠端程式碼執行（RCE）漏洞。這些漏洞允許攻擊者在未經身份驗證的情況下執行任意程式碼，對運行 PHP 的網站構成直接威脅。

官方建議所有使用 PHP 的使用者應立即升級至最新版本，以消除潛在的安全風險。

原定於 10 月 22 日 14:00 UTC 進行的正式發布，因 10 月 20 日 15:00 UTC 左右兩個 CVE ID 在線上論壇與社群媒體流傳而被迫提前。當時流傳的資訊包含錯誤的發布時間以及錯誤的 CVSS 評分 10.0（實際評分為 9.2），但並未洩露具體技術細節。

為應對外洩情況，PHP 專案團隊將預先公告時間提前至 10 月 20 日 19:30 UTC，並將正式發布時間從 10 月 22 日調整為 10 月 21 日 14:00 UTC。

在預先公告後約 20:00 UTC，報告該問題的安全公司 Calif 誤發了一段展示概念驗證（PoC）運作情況的影片。雖然該影片隨後被刪除，但副本已在社群媒體上流傳，並揭示了關於漏洞的一些有限額外細節。這段影片的流傳加速了各種概念驗證開發，導致 10 月 21 日相關資訊在社群中的傳播速度加快。

根據發現漏洞的 Wiz Research 團隊提供的詳細時間線，他們於 2026 年 8 月 19 日利用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 等 AI 工具發現了第一個 PHP 漏洞。

隨後在 8 月 20 日確認該漏洞可在 Drupal 上實現未經身份驗證的遠端程式碼執行，並於 8 月 21 日確認同樣的情況適用於 WordPress。Wiz Research 於 8 月 24 日向 PHP 安全團隊報告這些漏洞。

PHP 團隊於 9 月 21 日確認收到報告並開始開發協調修復方案，最終在 10 月 21 日發布修補後的 PHP 版本並進行公開揭露。