PHP Foundation承认关键漏洞修复延误为结构性失误
PHP Foundation表示，因决策迟疑和资源不足，针对2024年首次发现的关键安全漏洞的修复工作多次停滞并重启，并将延误定性为「结构性失误」。
PHP是一种广泛用于网站和Web应用的编程语言。PHP已发布针对两项相关关键漏洞的紧急补丁。未经身份验证的攻击者可能利用漏洞，在无需登录的情况下于受影响服务器执行代码。
两项漏洞分别为CVE-2026-109618与CVE-2026-109619，均评分9.2，涉及内存管理与错误处理路径，几乎触及每一请求；在Apache mod_php默认配置下已演示完整远程代码执行，PHP-FPM路径亦确认可利用。
荷兰、芬兰、法国、德国及澳大利亚等地部分政府网站或在线服务一度下线，以准备安装补丁；荷兰包括DigiD、MijnOverheid与议会网站，芬兰Valtori关闭多项公共服务，法国部分内政网站亦临时下线。
漏洞迹象最早于2024年在外部审计中出现，但因无明确利用路径、修复方案存在兼容性或拒绝服务风险、需协调大量第三方扩展，且核心安全团队规模小且依赖共识决策，工作反复停滞；8月11日Calif与OpenAI独立报告无条件远程代码执行后才升为最高优先级。
公开披露前CVE编号泄露导致提前公告，补丁于10月21日发布（版本8.5.12、8.4.27、8.3.36、8.2.35）；网站运营商与托管方紧急升级或下线以降低暴露，资金与资源流向补丁部署与安全加固，受益方为及时更新的大型站点与云服务商，承压方为仍运行旧版本或无法快速打补丁的中小网站与政府服务。
来源：公开信息
ABAB AI 解读
PHP Foundation长期依赖小型核心开发者团队维护语言引擎，安全决策以共识为基础；2024年外部审计中已发现内存处理问题迹象，但因修复方案涉及向后兼容性破坏、潜在拒绝服务或需协调数千第三方扩展，团队反复停滞，直至2026年8月外部研究者（包括OpenAI相关工作）演示无条件远程代码执行后才加速。
资本与资源路径上，基金会资源有限，核心引擎知识集中在少数人，安全工作与日常维护竞争优先级；此次事件后基金会开始调整决策流程，从全员共识转向多数决并鼓励妥协，同时呼吁企业用户增加安全资助，动机是避免因兼容性顾虑再次延误关键路径修复。
这与OpenSSL Heartbleed早期披露延迟、以及早期Linux内核安全补丁因生态兼容性争议推迟的案例类似；当前处于基础语言与运行时安全从人工共识模式向AI辅助发现与强制优先级转移的阶段，AI已能在数小时内复现复杂利用链。
本质属于监管变化与治理结构重构：从依赖小团队共识的开源维护模式，转向必须建立强制决策机制与外部资助的基础设施安全模式；发生原因是语言引擎位于几乎所有请求的关键路径，任何修复成本高昂，而资源不足与决策惯性使已知问题长期滞留，外部AI与研究者的报告最终打破停滞。
ABAB News · 认知定律
共识决策在关键路径上等于延误
已知漏洞 + 资源不足 = 结构性暴露
从人工共识到强制优先级，是基础设施安全的转折点