PHP 严重 RCE 曝多方撞车：Calif、OpenAI、Wiz 同报一漏洞

basedjensen · x · 2026-10-22

PHP Foundation 公布时间线，回应对「谁先发现漏洞」的争抢：在 Patch the Planet 项目下，安全公司 Calif 于 2026 年 7 月 30 日开始审计 PHP，8 月 11 日其研究员 Ryan A 报告了一个无条件远程代码执行（RCE），根因与 2024 年已发现的 OOM 问题相同；OpenAI 同一天独立报告了同一根因，随后 9 月 18 日提交了更多攻击向量，Wiz 也在 8 月 24 日提交，Trail of Bits 最近同样在审计 PHP。

基金会称，这三方的报告让 OOM 问题的完整影响浮出水面，8 月 11 日起修复成为安全团队最高优先级，团队周末无休全天候协调；若没有基金会资助，不可能让多人全职投入此事。转发评论批评 Calif 与 Wiz 争抢「谁先发现」的做法很 lame。