一个普通开发者的帖子，把PHP安全团队的发布计划整个打乱了。日本时间2026年10月21日23时，PHP紧急安全更新与漏洞详情正式公开，大量网站和服务为此进入紧急维护状态。而这场骚动的起点，是Hacker News上一条本不该出现的爆料。
按原计划，PHP安全团队准备在稍晚的时间点发布补丁。但漏洞信息先在社交新闻网站Hacker News上被公开，发布节奏被迫提前。发帖人随后再次出现在Hacker News，为这场风波道歉。
在Hacker News的「Tell HN」讨论帖中，用户petecooper于2026年10月20日发帖称，据可靠消息源，两个CVSS严重度评分为10.0的PHP RCE漏洞，相关公告计划于2026年10月22日18:00 CEST（日本时间10月23日1时）发布。他引用消息源的说法提醒：虽然没有确凿证据，但如果生产环境运行着PHP，最好优先做好更新准备。
这次被发现的两个重大漏洞名为「PHP2Shell」。据报道，安全企业Calif与OpenAI分别在2026年8月独立发现了它们。PHP安全团队原本计划推送更新，但补丁公开之前，漏洞的识别编号和发布安排已经扩散，随后连演示攻击方法的视频也流出，未修复的PHP被攻击者盯上的风险随之升高。
信息扩散的链条并不止于一条帖子。Calif误将一段演示漏洞概念验证的视频公开，视频虽被删除，却在社交平台上被转发。还有研究者根据已公开的信息复现了漏洞。补丁尚未发布，漏洞细节已经层层外泄。
petecooper的帖子下很快出现批评声音，有人指出漏洞信息本应处于禁止公开状态，也有人认为这种发布方式等于鼓动所有人用自己的工具去挖漏洞并加以利用。另一边的意见则认为，相关信息已经在X上被发现和传播，在补丁发布前让网站运营者知晓，才方便他们提前应对。
最终，PHP安全团队将原定更新提前，宣布于2026年10月21日公开紧急安全更新。日本多家网站为应用紧急补丁临时进入维护状态。应对PHP2Shell的紧急更新版本8.5.12、8.4.27、8.3.36、8.2.35于日本时间2026年10月21日23时发布。
之后，petecooper再次在「Tell HN」发帖道歉。他表示，自己清楚关于PHP漏洞的帖子对信息公开日程造成了相当大的影响，也增加了工作量，对此真心抱歉，并愿为自己的行为承担全部责任。
他解释，发帖时自己完全不知道这次漏洞设有禁止公开的禁发期，从信息提供者以及提供者的消息源那里，也没有听到存在禁发期的说法。他本人一直按照PHP的发布周期从源码编译，发帖的初衷是让处于同样处境的人认识到更新的重要性和紧迫性。
Hacker News上为petecooper辩护的声音也不少。有人指出，一个人无法为违反自己并不知情的禁发期负责；也有人认为，他只是对身边的信息做出了反应，所谓承担全部责任的说法值得商榷。
petecooper还提到，部分媒体报道称他出于善意发布的內容，成了禁发措施解除或事先约定日程变更的起因。他说自己此后一直睡不好，道歉并承认责任对他而言是一种新的行事方式，希望今晚能睡着。
据报道，petecooper是一名自由职业顾问，与此次风波涉及的任何团体都没有关联或合作关系。
热门跟贴