我们想要通知您，PHP 即将发布一个安全版本，用于修复两个关键漏洞（均被评为 CVSS v4.0 9.2, Critical）。该版本计划于 2026 年 10 月 21 日星期三 14:00 UTC 发布。我们鼓励所有 PHP 用户现在就做好准备，以便在版本可用时尽快更新。我们也保留提前发布的权利。
正文
我们想通知您，PHP 即将发布一个安全版本，修复两个严重漏洞（两者的 CVSS v4.0 评分均为 9.2，评级为严重）。该版本计划于 2026 年 10 月 21 日（星期三）14:00 UTC 发布。我们建议所有 PHP 用户现在就做好准备，以便在版本发布后能够尽快更新。如果任一漏洞的细节被公开，或我们发现其在真实环境中被积极利用的证据，我们保留提前发布的权利。
PHP 安全团队
评论
社区被一条演示视频和已流传的利用代码推入应急状态：多数人认为漏洞已在野外被利用，严重性可能超过 Log4Shell，因而呼吁立刻发补丁或先关站。分歧在于是否只能靠停机与恐慌——一方强调纵深防御仍可缓解，补丁延迟也被从“大厂合谋”澄清为“发布者还在睡觉、利用公开太快”；“很多人今晚要熬夜”的调侃折射出普遍的抢修情绪。
认为漏洞利用已公开并被实际用于攻击，严重性可能超过 Log4Shell
- 已出现粘贴 URL 即可拿到服务器 shell 的演示，POC 与利用代码在外流传，且有人称已被攻击者部署；由于 LLM 可自动化攻击，任何 PHP 网站可能在几小时内被大量 agent 扫到并攻陷，因此被视为史上最糟漏洞之一，也有人认为它可能比 Log4Shell 更糟。（较多人）
- 需要引用时，只用一句中文意译： > 漏洞利用已经公开，配合 LLM，几小时内就可能有成千上万个 agent 去攻陷任意 PHP 网站。（@redox99）
认为应在补丁发布前先关站，且补丁必须立刻发布
- 既然利用已经在传播，最稳妥的做法是在官方补丁上线前直接把服务器或站点下线，打完补丁后再恢复；同时不断有人催促立刻发版，而不是以后。（较多人）
- 需要引用时，只用一句中文意译： > 在补丁上线前最好先把服务器关掉，打完补丁再恢复。（@Gigachad）
认为可以通过纵深防御缓解，不必只停留在“无条件”恐慌
- 即便漏洞描述听起来无条件，运维层面仍有办法限制伤害：例如彻底禁用 PHP 的 system 函数，或让 PHP 运行在根本没有 shell 或任何其他程序可供执行、甚至没有文件系统的环境里。（少数人）
- 需要引用时，只用一句中文意译： > 纵深防御是真实存在的：可以禁用 PHP 的 system 函数，或让 PHP 运行在根本没有 shell 或任何其他程序可供执行、甚至没有文件系统的环境中。（@jeffbee）
认为补丁迟迟未发布是大厂合谋、小玩家被抛弃
- 有少数人愤怒质问补丁为何还没出，并将其解读为大厂彼此串通、把缺乏资源的小网站和维护者晾在一边自生自灭。（少数人）
- 需要引用时，只用一句中文意译： > 补丁怎么还没发布？这又是一桩大厂合谋、把小玩家晾在一边等死的事。（@charcircuit）
认为补丁未发布只是因为发布者还在睡觉，且利用公开速度超出预期
- 负责 PHP 发布的人只有几个，而且他们当时还在睡觉；泄露视频已经迫使公告提前，但利用代码在视频后这么快就被公开，连发布团队也感到震惊，原本以为即使有 LLM 也能多争取一些时间。（少数人）
- 需要引用时，只用一句中文意译： > 负责发布的人只有几个且还在睡觉，我同样震惊于利用代码在泄露视频后公开得这么快，原本即使有 LLM 也以为能多争取一点时间。（@bwoebi）
认为当前缺少受影响版本信息，难以评估自身风险
- 有人指出讨论中还没有给出受影响版本的提示，导致运维无法判断自己是否在漏洞范围内，只能先按最坏情况处理或关站。（少数人）
- 需要引用时，只用一句中文意译： > 目前还没有任何关于受影响版本的提示。（@jamesfinlayson）
有价值的补充
- 据传临时缓解方式是在 php.ini 中将 session.upload_progress.enabled 设为 Off，但这只是权宜之计，不能替代打补丁。
- 由于大量廉价、缺乏维护的 LAMP 站点跑在 VPS 上，有人预计 VPS 厂商可能会主动介入，在主机层面帮用户缓解或拦截利用，避免这些服务器被批量打穿。