PHP 官方复盘：两个 RCE 是怎么被找到、又是怎么拖了两年 — Hacker News 中文摘要
来源：thephp.foundation — 122 分
📋 概述
PHP 基金会发布 8.5.12、8.4.27、8.3.36、8.2.35，修掉两个相关的关键 RCE：一个在内存耗尽时留下未初始化的内部数据、随后被当成有效数据使用，在 Apache mod_php 上未授权请求可在应用代码运行前触发；另一个是致命错误后工作进程持有已释放内存的引用，下一个请求踩到 use-after-free。文章把修复拖延归因于安全团队共识决策与资源不足的结构性问题，并说明正在重建安全组织。
🔑 核心要点
- CVE-2026-109618 走的是 内存耗尽时的 OOM 内存损坏路径，mod_php 上默认配置即可未授权 RCE。
- CVE-2026-109619 是致命错误后 worker 继续持有已释放内存，下一个请求触发 use-after-free。
- 问题最早来自 2024 年首次外部审计：Sovereign Tech Agency 出资、OSTIF 组织、Quarkslab 执行。
- 修复方案各有代价（破坏兼容、引入 DoS、要改大量第三方扩展），团队在共识制下反复停摆数月。
- 官方已成立 Ecosystem Security Team，并引入 Daybreak Red、sanitizer 构建与可复现环境。
💡 金句
We won't pretend otherwise: the delay was a structural failure, caused by both the security team's decision process and its lack of resources.
👍 0
👎 0
← 返回 Hacker News 首页