PHP 开发团队近日公开指责软件供应链安全公司 Chainguard，称其单方面打破禁运期、提前发布修复补丁的行为，将全球大量依赖 PHP 的基础设施置于危险之中。此次争议源于两个被统称为“PHP2shell”的高危漏洞。
本周三，在紧急补丁发布仅数小时后，这两个漏洞的细节开始在网络论坛和社交媒体上流传。尽管当时尚未公布具体技术细节，但相关 CVE ID（CVE-2026-109618 和 CVE-2026-109619）的泄露促使 PHP 维护者决定将原定于周四进行的正式披露提前至周三。
据 PHP 基金会博客说明，由于各大分销商仍在打包修复程序，推迟一天发布本是为了给用户留出准备时间并确保更新路径畅通。然而，Chainguard 在协调披露窗口期结束前六小时，即 10 月 21 日 07:41 UTC，单方面发布了包含修复方案的构建镜像。这一举动使得攻击者能够通过分析二进制文件逆向推导漏洞原理，而此时其他 PHP 用户尚未获得官方警告或更新。
Chainguard CEO：基于威胁情报做出的独立决策
针对 PHP 团队的指控，Chainguard 首席执行官 Ian Coldwater（文中译为洛伦克/Lorenc）表示，该公司并未故意“泄露”信息，而是基于对实时威胁的判断做出了独立决定。
据洛伦克透露，Chainguard 于上周五从发现该漏洞的研究人员处获悉 PHP 中存在潜在问题。随后，该公司利用人工智能模型独立复现并确认了相同的内存损坏漏洞。洛伦克在 LinkedIn 上指出，仅需一个基础提示词即可让 AI 在 PHP 中定位到严重漏洞。
周六起，Chainguard 开始与 PHP 维护团队协作，验证发现并协助测试补丁。洛伦克强调，这是一个复杂的漏洞，建立有效补丁耗时数月。但在周二晚间，鉴于网络上谣言四起且存在野外活跃利用的证据，他决定发送修复程序，并通知了 PHP 协调披露通道。当晚，Chainguard 公布了构建产物。
“人们在官方披露之前就会受到攻击，只有在野外有活跃漏洞证据时我们才会行动。”洛伦克表示，“醒来后发现所有责任都归咎于我们，这令人遗憾，因为我们在同一个阵营。”他还提到，Chainguard 的蜜罐系统在周三监测到来自中国及俄罗斯的 IP 地址正在针对该漏洞进行扫描。
漏洞详情与技术影响
此次涉及的漏洞由 Calif、OpenAI 和 Wiz 的安全研究人员在 8 月至 9 月期间通过 AI 模型发现。Wiz 研究人员 Sagi Tzadik、Shir Tamari、Nir Ohfeld 和 Tomer Schwartz 警告称，未经认证的攻击者可利用这些漏洞在运行 PHP 的服务器上执行远程代码（RCE），进而控制服务器并窃取敏感数据。
VulnCheck 研究员 Patrick Garrity 解释称，这两个漏洞均属于内存损坏类型。当请求意外结束时，可能导致内部 PHP 状态损坏，后续请求若重用该状态，则可能引发内存泄露或 RCE。目前，过去十年内发布的每个 PHP 版本至少受其中一个漏洞影响。
- CVE-2026-109618 (GHSA-w8hw-w9fx-j79w)：该漏洞通过外部存储损坏导致 RCE。如果请求恰好在 PHP 内存限制时刻到达，可能会留下部分初始化的内部数据。在使用 mod_php 的 Apache 环境中，未经认证的请求可在任何应用程序代码运行前触发此缺陷。
- CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp)：该漏洞允许通过陈旧状态实现 RCE。根据 PHP 基金会描述，致命错误可能导致内部状态指向先前请求的内存。同一工作进程处理的后续请求可能使用已释放的内存（Use-after-free）。记者已在运行 mod_php 的真实 Apache 应用程序中证实了远程代码执行的可能性。
鉴于 PHP 支撑着全球大量的公共网络基础设施，此次事件不仅凸显了供应链安全协作机制面临的挑战，也引发了关于 AI 加速漏洞挖掘背景下披露策略的新讨论。目前尚不清楚未修补遗留系统的具体受影响范围，安全专家强烈建议立即应用补丁。
