PHP 严重 RCE 漏洞补丁未出先公告，全球暴露窗口引安全界担忧
NathanpmYoung · x · 2026-11-02
PHP 官方在补丁可用之前就发布公告，确认存在严重远程代码执行（RCE）漏洞，安全研究者 @sherlockcomms 指出这意味着全球处于「坏人也知道漏洞存在、但好人没有官方解决方案」的暴露窗口期。
- PHP 的公告只确认漏洞存在，未披露细节：仅给出修复发布日期与严重程度，完整信息将随补丁一同公布
- 相关 PHP.net 新闻存档显示，同期还处理了 Brotli 解压越界写漏洞（CVE-2026-111497，影响启用 cURL 自动响应解压的 Windows 构建版）以及 Session upload progress 潜在 RCE 向量（官方建议临时将 session.uploadprogress.enabled 设为 0）
- 值得注意的是，截图中解释这一争议的社区笔记标注为「Written by AI」，即由 AI 撰写并被评为 helpful
「安全」频道最新
- Grok 确认：Chrome macOS 漏洞已在 155.0.8059.39 修复 — emax · 2026-11-02
- Scale AI CEO 警告：万圣节冒充 Muse 要电话是钓鱼攻击 — alexandr_wang · 2026-11-02
- 专用推理芯片能否替代 GPU?研究员质疑其定义含糊恐误伤 AI 无关行业 — BlancheMinerva · 2026-11-02
- 红队用深层情感做攻击手段，AI 安全社区激辩对模型是否残忍 — repligate · 2026-11-02
- Vercel Agent 安全访问生产环境:按计划审批授权权限 — dl_weekly · 2026-11-02
- Anthropic 红队：Claude 挖出 Chrome V8 一键 RCE 等 5 条漏洞链 — emax · 2026-11-02