PHP 两个 RCE 漏洞细节泄露,Wiz 用 AI 发现后披露流程失控

Simon Willison · rss · 2026-10-22

Simon Willison 汇总 PHP 安全更新事件:PHP 全 8.x 线发布补丁修复两个远程代码执行漏洞,因协调披露流程泄露,昨晚起已有 PoC 在外流传,运行 PHP 的服务亟需升级。时间线:Wiz Research 于 8 月用 Wiz Atlas、Gemini 4 Argon 和 GPT-5.6 Sol 发现漏洞,随后确认对 Drupal 与 WordPress 的未认证 RCE 并负责任报告给 PHP 团队;10 月 20 日 CVE 编号带错误 CVSS 10.0 评分在网络流传,PHP 提前发布预告;安全公司 Calif 误发演示视频加速了各路 PoC 开发。漏洞由 AI 工具辅助发现是本次事件的另一亮点。