【上水了 🤬】导致所有管理员疲于奔命、全球大量网站要离线避难的 PHP 重大 RCE 漏洞，其洩密者在「深潜多日」后终于「上水」。他在 Hacker News 讨论区公开道歉，坦承自己在不知情的情况下打破了保密协议（Embargo），并表示自己对打乱官方漏洞揭露时程、加重全球工程师的工作负担深感歉意，愿意承担全数责任。

 

事件源于一名名为「petecooper」的论坛用户，于 10 月 20 日在 Hacker News 的「Tell HN」板块发文，透露 PHP 将于中欧夏令时间（CEST）10 月 22 日 18 时（香港时间 10 月 23 日凌晨 0 时）公开两项 CVSS 评分达 9.2 的重大 RCE 漏洞，内含 CVE 识别码及概念验证（PoC）攻击展示影片连结，提醒大家应及早做好维护准备。

 

然而，该贴文刊登后立即遭到网络安全从业人员强烈谴责，认为漏洞资讯在修补程式正式推出前必须严格保密，提早公佈只会刺激骇客加速利用自动化工具与代理程式（Agent）挖掘攻击路径。尽管他随后立即删除贴文，但相关内容早已完全流出。

 

面临资讯全面失控的风险，PHP 安全团队随即宣布提前发布应急安全更新，全球系统管理员亦正式进入紧急维护状态。PHP 官方最终于日本时间 10 月 21 日晚间 11:00（HKT 22:00），紧急释出包括 8.5.12、8.4.27、8.3.36 以及 8.2.35 等版本更新，全面修补 PHP2Shell 漏洞。

 

petecooper 解释，自己在发文前曾向多方消息来源确认，对方皆表示该项资讯并无保密协议限制，自己完全不清楚背后设有严格的资讯公开禁令（Embargo）。他补充，由于自己平时习惯配合 PHP 发布週期自行从原始码（Source Code）进行编译与最佳化部署，初衷纯粹是为了提醒处境相同的系统管理员及早因应，未料会引发如此严重的连锁反应。

 

petecooper 强调，自己与本案涉及的任何官方组织均无利益关系，对于自身善意却导致保密期失效、全球团队被迫连夜加班深感内疚，希望在正式坦承与道歉后，事件能告一段落。

 

 

 

资料来源:

 

• I unknowingly broke the PHP RCE embargo. I am sorry