PHP 8.x: релиз безопасности сдвинули из‑за утечки CVE и живых эксплойтов

21 октября 2026 для всей линейки PHP 8.x вышли патчи против двух уязвимостей с удалённым выполнением кода — эксплойты в сети крутятся с прошлой ночи, потому что сорвался согласованный релиз. Simon Willison собрал, как утечка номеров CVE и случайный PoC от репортёра разогнали атаки быстрее плана PHP Foundation.

20 октября около 15:00 UTC два идентификатора CVE попали на форумы и в соцсети: вместе с ними шло неверное время релиза и завышенная оценка CVSS 10.0, хотя фактическая — 9.2. Технических деталей в утечке не было. PHP Project вынес pre-announcement на 19:30 UTC и перенёс выкладку с 22 октября 14:00 UTC на 21 октября 14:00 UTC.

После утечки и pre-announcement, около 20:00 UTC, Calif — одна из security-фирм, сообщивших об уязвимостях — по ошибке выложила видео с рабочим proof of concept по нескольким целям. Удалённое видео быстро разошлось копиями, ускорило появление разных PoC, и к 21 октября их уже активно пересылали.

Как находили до срыва таймлайна

Wiz Research описывает «чистый» responsible disclosure — от автоматизированного поиска до публичного раскрытия в день релиза:

• 19 августа 2026 — первая уязвимость через Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol.
• 20 августа — подтверждён unauthenticated RCE против Drupal.
• 21 августа — то же против WordPress.
• 24 августа — отчёт в security team PHP.
• 21 сентября — PHP подтвердил отчёты и начал согласованный фикс.
• 21 октября — патченные сборки и публичное disclosure.

В блоге PHP Foundation отдельно разбирают, что пошло не так в координированном процессе — на фоне уже работающих эксплойтов это скорее постмортем, чем теория.

Источник: Today's PHP Security Release, and How We're Strengthening PHP Security.