PHP2Shell 双严重漏洞时间线整理
原创
buluo
buluo
安服驻场记
2026年10月22日 10:09
云南
去阅读
下面是关键时间线图（按四个阶段分组，UTC 时间为主）
【北京时间 = UTC+8】
一、历史谱系（前传，非本次披露）
| UTC 日期 | 事件 |
|---|---|
| 2004 | Stefan Esser 发现首个 PHP memory\_limit 远程漏洞（未公开 PoC，CORE/Immunity 握有私有 exploit）。Calif 正是沿这条老线索反推。 |
| 2020 | [email protected] 报 bug #78876：长变量在 multipart 下触发 OOM、临时文件未清理。当时未重视。 |
| 2024 | OSTIF 出资、Quarkslab 执行 PHP 首次外部安全审计，重新发现 #78876 相关 OOM 问题，但未证明可利用，未修；PHP core developer 在修 Quarkslab 其他问题时也摸到同一 OOM 苗头。修复方案因兼容性 / DoS / 扩展协调难题反复停滞数月。 |
| 2026-07-30 | OpenAI「Patch the Planet」计划下，Calif 开始审计 PHP（Stefan Esser 牵线，Volker Dusch 对接 PHP Foundation）。Trail of Bits 同期也在审计 PHP。 |
二、发现与协调披露期（2026 年 8–9 月）
| UTC 日期 | 事件 |
|---|---|
| 08-01 | Calif 独立发现多条通往 RCE 的路径（首个 OOM-fatal + 三个中断点之一，可打穿 WordPress）；后续又找到 mod\_php 与 PHP-FPM 的可靠变体。 |
| 08-05 | Calif 研究员 Ryan Austin 在 X 上发了其中一个 finding 的 hash（预热）。 |
| 08-11 | Calif（Ryan Austin）向 PHP 报告首个 bug，进入协调披露流程；同日 OpenAI（Amy Burnett / Codex Security）独立报告同根因。 |
| 08-14 | Calif 向 PHP 共享 RCE PoC。 |
| 08-15 | PHP 确认 PoC 按预期工作。 |
| 08-21 | Calif 向 PHP 报告第二个 bug（stale global state 方向）。 |
| 08-24 | Wiz Research （sagitzadik、tomash-areion）报告。 |
| 09-18 | OpenAI 补充更多攻击向量。 |
| 2026-09 | Alexandre Daubois（7 月加入）、Daniel Scherzer（9 月加入）驻场安全团队；引入 OpenAI Daybreak Red、Anthropic Claude Mythos 做报告验证。 |
| 10-18 | PHP 安全团队在 EOL 分支（7.4/8.0/8.1）提交最小缓解 backport，commit 信息「Minimal mitigation for EOL version」。 |
三、泄露与提前发布（2026-10-20）
| UTC 时间 | 事件 |
|---|---|
| ~15:00 （23:00 CST） | 两个 CVE 编号在 Hacker News / 社媒流出，附带错误的发布时间和错误 CVSS 10.0（实际 9.2），无技术细节。 |
| 19:30 （次日 03:30 CST） | PHP 发布提前通告：原定 10-22 14:00 UTC 的安全发布提前一天至 10-21 14:00 UTC，两个严重漏洞，均 CVSSv4.0 9.2。CERT-EU 发布 2026-018 通告。 |
| ~20:00 （次日 04:00 CST） | Calif 误发 PoC 演示视频 （展示对多个目标打穿），随即删除，但拷贝在社媒扩散，直接催生后续大量 PoC。 |
| ~23:00 （次日 07:00 CST） | PHP 私下向少量关键基础设施机构提供缓解建议，该内容随后也泄露。 |
四、补丁日（2026-10-21）
| UTC 时间 | 事件 |
|---|---|
| 02:42 （10:42 CST） | Huntress 发布快速响应；无自有 PoC，合作伙伴环境暂未见利用，建议上 Florian Roth 进程监控。 |
| 07:34 （15:34 CST） | Patchstack 接到托管合作伙伴报告：多起活跃利用事件。 |
| 07:41 （15:41 CST） | Chainguard 单方面打破 embargo ，提前 6 个多小时发布含修复的容器镜像 —— 攻击者可从二进制反推补丁，而其他 PHP 用户还在等正式发布。PHP Foundation 事后公开点名批评。 |
| 07:43 （15:43 CST） | Cloudflare CTO Dane Knecht：「早期攻击正在出现」，WAF 规则对全量客户（含免费版）上线，定性为「仅止损，必须打补丁」。 |
| 白天（CST 傍晚–夜间） | 荷兰预防性下线：Tweakers、众议院、NCSC、Security.NL、DigiD、RTL；日本 pixiv 及多家电商平台受波及。UK NCSC、加拿大 CCCS（AL26-026）相继告警。 |
| 11:35 （19:35 CST） | Hadrian：观测到「大规模在野利用」，主要走 session upload-progress 路径（对应 CVE-2026-109619）。Hadrian |
| 13:30–13:52 （21:30–21:52 CST） | PHP 四个修复版本落地：8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（略早于预定 14:00）。 |
| 13:48:34 （21:48 CST） | MITRE 发布 CVE-2026-109618「RCE via OOM corruption」（PHP 为 CNA），GHSA-w8hw-w9fx-j79w；php.net 安全公告同分钟上线。 |
| 13:54:43 （21:54 CST） | MITRE 发布 CVE-2026-109619「RCE via stale global state」，GHSA-6wmf-4rv5-p3rp。 |
| 13:57 （21:57 CST） | Patchstack：补丁后遥测显示仅探测性攻击，无失陷硬证据。 |
| 14:00 （22:00 CST） | 协调披露窗口正式开启 ；Calif / Wiz / OpenAI / PHP 同步发布技术写作。官方明确：无完整缓解措施，升级是唯一安全选择；mod\_php 风险最高，默认配置下应用代码执行前即可完成 RCE。 |
| 14:35 （22:35 CST） | Hadrian 更新：利用仍在「at scale」，打补丁是当天第一优先级。Hadrian |
| 15:00+ （23:00+ CST） | 公开 PoC 仓库大量涌现；Sansec 预测「补丁发布 15 分钟内出现大规模利用」。8.5.12 ChangeLog 仅列两条安全修复。NVD/EPSS/CISA KEV 此时均未收录。 |
公开确认的大规模失陷：无硬证据（Patchstack/Huntress/watchTowr 遥测以探测为主；Hadrian 观测到 at-scale 利用，但多为 session upload-progress 探测路径）
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论