这次PHP2Shell（CVE-2026-109618 / CVE-2026-109619）早期细节和PoC思路被提前放出来的始作俑者之一，就是安全研究员 … · @dahuaerda · TwKit

@dahuaerda

这次PHP2Shell（CVE-2026-109618 / CVE-2026-109619）早期细节和PoC思路被提前放出来的始作俑者之一，就是安全研究员 Jλckλι@J4ck3LSyN。 他这样最新回复那些谴责他的声音： “为那些蠢人澄清一下……我没做任何违法的事，也没有和任何项目/平台签过合同，更不在乎这些……在今天这个世界里，社会契约毫无意义……所以，某种程度上，滚吧 ^.^ ✓ 背景是两个PHP核心的未认证远程代码执行漏洞，CVSS 9.2，影响从很老的版本一直到最近支持的分支。PHP官方在10月21日紧急发了补丁（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35），但在补丁出来之前，包括@J4ck3LSyN在内的研究人员已经把相关细节、思路甚至下载链接放出来了。 有人说bug本身被知道好几年，存在更久，这次是披露节奏被打破，导致大量站点在补丁窗口期暴露。 社区里吵翻了。一边说这是不负责任披露，给攻击者直接送弹药，尤其是在补丁还没落地、很多站点还在用老版本的时候；另一边说PHP自己拖了这么久、漏洞早就在那里，社会契约本来就不是法律，研究人员没有义务替厂商或平台扛责任。 @J4ck3LSyN的回复就是后者的极端版本：老子没违法、没签合同、不在乎那些所谓的行业默契，所以别跟我扯道德。 这件事把几个老问题又摊开了： 1协调披露从来不是法律强制，只是社区约定。约定一旦被打破，法律层面几乎管不了，剩下的全是声誉和后续合作成本。 2PHP这种基础设施级别的语言，漏洞窗口期的成本极高。即使官方说补丁前公开的PoC大多不能直接用，但信息已经扩散，攻击尝试很快出现。 3“社会契约”在高速信息流通的环境里越来越脆。有人选择严格守约定，有人选择“我只对事实负责”。两者都有支持者，也都会被骂。 目前官方建议还是立刻升级到已修补版本。老分支（8.1及以下）基本没上游补丁，只能靠发行版backport、边缘拦截或隔离。漏洞本身在PHP核心，不是某个应用或插件的问题，所以“我站点是最新WordPress”并不能自动免疫。 研究员把“无所谓”摆在明面上，等于主动退出了那套行业默契游戏。 之后会不会影响他后续研究被接受、被引用、被合作，要看具体圈子怎么反应。 对多数运营来说，现在最迫切的还是把补丁打上。

曝光 891 · 评论 1 · 点赞 0 · 书签 0