標籤: PHP

文章來自 Hacker News 的文章：

At the time of posting, I didn’t know about any embargo. My contact had told me there was no embargo, and her contact had told her the same thing.

As someone who follows the 4-weekly PHP release cycle and compiles it from source, my intention was to alert others in a similar position to be aware of the importance/urgency of the updates.

That clearly backfired in a pretty wild fashion. I have learned my lesson.

作者並沒有被告知需要先保密，而作者覺得需要告知身邊的人注意這個問題，所以消息就傳出去了。

PHP 針對 CVE-2026-109618、CVE-2026-109619 發布安全性更新，這次漏洞導致 RCE (Remote Code Execution)，另外看到 OpenAI 表示 GPT-5.6 Sol 找到的漏洞。

PHP 官方一開始先表明有嚴重的漏洞，但沒有說明問題和迴避方式，一直到 patch 釋出才公佈詳細內容。這樣的流程導致在還沒有 patch 之前，就可能先有 bot 開始發動攻擊。

gslin 那邊有追蹤前後發生的事情。

AI 可以開始掃程式碼以後，0-day 應該會越來越多，看看之後各團隊怎麼調整更新流程吧。

按照官方的 PHP 維護時程來看，PHP 8.3 將在 2027-12-31 中止安全性更新；而 PHP 8.4 也將在 2026-12-31 中止功能更新，但仍有安全性更新。

先從測試機更新版本，看起來 Laravel 和多數的專案都遇到什麼問題。

PHP 社群看起來還蠻活躍的，從 RFC 上可以看到一些還不錯的提議，未來應該會有一些有趣的應用。