论坛用户提前泄露PHP漏洞，道歉称不知有禁令

一名Hacker News用户在平台上发帖道歉，原因是提前公开了PHP漏洞的相关信息。据其自述，他发布CVE编号的初衷，是想提醒那些关注PHP四周发布周期的开发者，这件事有多重要、有多紧急，但他当时并不知道这两个漏洞附带新闻禁令。 这位ID为petecooper的用户写道：“我在这里发布了当时即将公布的PHP远程代码执行漏洞，涉及CVE-2026-109618和CVE-2026-109619。我明白这给协同披露的时间表带来了相当大的连锁影响，也增加了额外的工作量。我真的很抱歉，我为自己的行为承担全部责任。” 他同时表示，造成后续这些副作用完全不是他的本意。“发帖的时候，我并不知道有任何禁令。我的联系人告诉我没有禁令，而她的联系人也对她说了同样的话。” CVE-2026-109618和CVE-2026-109619是两个严重漏洞，评分均为 9.2 。PHP基金会原本计划进行有控制的公开发布，让受影响的网站和应用在漏洞广为人知之前完成修补。问题在于，部分收到预警的人没有把随漏洞一同下发的禁令传递出去，消息因此比预期更早扩散。 提前泄露的并不只有petecooper一人。社交媒体和其他平台上已经有多条泄露信息在流传，这迫使PHP基金会把公告时间提前了一天。即便如此，该组织仍指出Chainguard提前了 六个多小时 打破禁令。Chainguard联合创始人兼首席执行官Dan Lorenc在领英上为这一做法辩护，称他是在与另外几位研究人员沟通后做出的决定，并且在公开发布修复方案后立即通知了相关方，而不只是通知自己的客户。 这两个漏洞是PHP运行时本身的缺陷，由AI工具发现，并非失控AI发起的攻击。但这项技术的能力，可能让安全研究人员和恶意行为者都更容易找到那些在广泛使用的代码中潜伏多年甚至几十年的漏洞。这让找到并部署修复方案变成了一场与漏洞被利用之间的赛跑。 特别