PHP Foundation承認關鍵漏洞修復延誤爲結構性失誤
PHP Foundation表示，因決策遲疑和資源不足，針對2024年首次發現的關鍵安全漏洞的修復工作多次停滯並重啓，並將延誤定性爲「結構性失誤」。
PHP是一種廣泛用於網站和Web應用的編程語言。PHP已發佈針對兩項相關關鍵漏洞的緊急補丁。未經身份驗證的攻擊者可能利用漏洞，在無需登錄的情況下於受影響服務器執行代碼。
兩項漏洞分別爲CVE-2026-109618與CVE-2026-109619，均評分9.2，涉及內存管理與錯誤處理路徑，幾乎觸及每一請求；在Apache mod_php默認配置下已演示完整遠程代碼執行，PHP-FPM路徑亦確認可利用。
荷蘭、芬蘭、法國、德國及澳大利亞等地部分政府網站或在線服務一度下線，以準備安裝補丁；荷蘭包括DigiD、MijnOverheid與議會網站，芬蘭Valtori關閉多項公共服務，法國部分內政網站亦臨時下線。
漏洞跡象最早於2024年在外部審計中出現，但因無明確利用路徑、修復方案存在兼容性或拒絕服務風險、需協調大量第三方擴展，且核心安全團隊規模小且依賴共識決策，工作反覆停滯；8月11日Calif與OpenAI獨立報告無條件遠程代碼執行後才升爲最高優先級。
公開披露前CVE編號泄露導致提前公告，補丁於10月21日發佈（版本8.5.12、8.4.27、8.3.36、8.2.35）；網站運營商與託管方緊急升級或下線以降低暴露，資金與資源流向補丁部署與安全加固，受益方爲及時更新的大型站點與雲服務商，承壓方爲仍運行舊版本或無法快速打補丁的中小網站與政府服務。
來源：公開信息
ABAB AI 解讀
PHP Foundation長期依賴小型核心開發者團隊維護語言引擎，安全決策以共識爲基礎；2024年外部審計中已發現內存處理問題跡象，但因修復方案涉及向後兼容性破壞、潛在拒絕服務或需協調數千第三方擴展，團隊反覆停滯，直至2026年8月外部研究者（包括OpenAI相關工作）演示無條件遠程代碼執行後才加速。
資本與資源路徑上，基金會資源有限，核心引擎知識集中在少數人，安全工作與日常維護競爭優先級；此次事件後基金會開始調整決策流程，從全員共識轉向多數決並鼓勵妥協，同時呼籲企業用戶增加安全資助，動機是避免因兼容性顧慮再次延誤關鍵路徑修復。
這與OpenSSL Heartbleed早期披露延遲、以及早期Linux內核安全補丁因生態兼容性爭議推遲的案例類似；當前處於基礎語言與運行時安全從人工共識模式向AI輔助發現與強制優先級轉移的階段，AI已能在數小時內復現複雜利用鏈。
本質屬於監管變化與治理結構重構：從依賴小團隊共識的開源維護模式，轉向必須建立強制決策機制與外部資助的基礎設施安全模式；發生原因是語言引擎位於幾乎所有請求的關鍵路徑，任何修復成本高昂，而資源不足與決策慣性使已知問題長期滯留，外部AI與研究者的報告最終打破停滯。
ABAB News · 認知定律
共識決策在關鍵路徑上等於延誤
已知漏洞 + 資源不足 = 結構性暴露
從人工共識到強制優先級，是基礎設施安全的轉折點