太坑人了
 |
1
Yien 20h 49m ago
OpenAI 发现的
|
 |
2
JinShu 19h 40m ago
Gemini 也发现了
|
 |
3
BaiLinfeng 19h 20m ago  4
会不会 php 的人自己知道，一直都在偷偷的利于，没想到被 AI 发现了……
|
 |
4
Zy143L 19h 16m ago
开源的东西 但凡露点苗头 所有 ai 都会去扫
|
 |
5
liulihaocai 19h 6m ago 4
公布出来还不负责任吗？难道手里留着 0day 不告诉别人去入侵网站，等被蜜罐发现网安公司爆出，就负责任了吗
|
 |
6
shoaly 19h 2m ago
估计老哥 半夜被电话打醒, 爬起来修漏洞吧.
|
 |
7
FengMubai 19h 2m ago 9
典型的官僚思维
|
 |
8
ScotGu 19h 2m ago
身残志坚。
|
 |
9
Muniesa 18h 41m ago
正常是应该先发补丁再公布漏洞的，然后 php 这个漏洞说是漏洞编号泄露+漏洞视频泄露+补丁泄露……
|
 |
11
timnotom 18h 21m ago
楼上说得对，我估计以后类似这种，都得预告吧？？
不然，你补丁一出来，ai 就能写代码攻击了？ |
 |
12
Sezxy 18h 20m ago
正常流程应该是发现漏洞，通知厂商修复，厂商修复后发通知，然后再公布漏洞。
这次的问题是漏洞提前泄露了，厂商要预告修复，打乱了节奏 |
 |
13
jedeft OP 那以后是不是可以：关注各类 IT 项目的安全更新，然后 ai 快速研究出攻击方案,就能批量攻击了？
|
 |
14
justfindu 18h 17m ago
 2 个月前就发现了, 一直在修复, 预期 22 号晚 10 点(北京时间)发补丁, 但是被提前 48 小时泄露了漏洞编号和细节, 只能提前一天发补丁. |
|
15
Sezxy 18h 17m ago
所以 OP 说泄露出来的人不负责任，也正常
 |
 |
16
orion1 18h 10m ago
楼上叫高危漏洞不太合适，应该是致命漏洞，官方 cve 定的不是 high
|
 |
17
ty5yidc 18h 6m ago 5
是 2024 年就知道了有这个漏洞，只是当时不知道怎么利用 所以一直挂在社区中，然后 8 月份大模型发现了利用的路径通报给 PHP，然后几家大公司开始着手修复，本来说先通知几个大厂或者各国 ZF 先提前修复，然后 8 月 22 号才公布修复的，有个老登提前把攻击路径泄漏了，所以事情闹的很大
|
 |
18
x86 18h 4m ago
被当成 0day 不发出来才可怕
|
 |
19
zuokanyunqishi 17h 59m ago
@ty5yidc 这个老登,不得被万人捶啊
|
 |
20
sagnitude 17h 54m ago
@liulihaocai 正常就是要厂商先修复的，任何软件和网站都需要时间修复更新发布，直接全部泄露出来就是不负责任的
|
 |
24
yyzh 17h 45m ago via Android
https://zhuanlan.zhihu.com/p/2096468631265734766
在审计的时候就知道了。没人知道要怎么修。就不修了😋 |
 |
26
alsas 17h 28m ago
gemini 发现的
|
|
27
sagnitude 17h 27m ago 2
@lmoon 互联网上又不是只有个人网站，大客户或者大厂都可以有时间差去看未公开发布的补丁，去提前修复，补丁又不是做好了就立刻发到公网上，我不太理解你为什么总是认为一个人受伤就等于一百个人受伤这种唯恐天下不乱的想法，100 个网站只要有一小部分能提前打好补丁，受伤的人就少一个，一百个网站哪怕有一个能提前准备好，也比直接暴露强
这就是 CVE 窗口期的意义 |
 |
28
docx 17h 26m ago via iPhone 1
未必是坏事，如果没有公布引起大震动，只在小圈子里弄，可能很多站都不重视、不升级、甚至不知道，那样更危险
|
 |
30
hunono 17h 14m ago
公布的是补丁.这贴居然是 V2EX 的贴,不可思议.你有更好的处理方式欢迎说出来,而不是抛问题\开骂,然后什么都无法解决,浪费大家时间.
|
|
31
hunono 17h 14m ago
这贴极其像钓鱼
|
|
32
liulihaocai 17h 8m ago
@sagnitude 现在是 ai 时代，修复本身就是泄漏漏洞内容，漏洞修复发布后 15 分钟就被复现出 poc 了，你是想要 1 天准备时间还是 15 分钟准备时间呢
|
|
33
sagnitude 17h 2m ago
@liulihaocai AI 带来的问题业界现在也没有答案，我肯定也没有答案和解决办法啊，我就问你，直接发送到微博头条，有会变得更好么？你的目标究竟是大家一起死还是减少影响范围？
|
|
34
sagnitude 17h 1m ago
就和舆情一样，现在流行出任何事情先搞一波舆情，否则诉求就解决不了，不走流程走舆情是更好的方案吗
所有人的注意力都是有限的 |
 |
35
godall 16h 6m ago
这是 php 自己搞出来的把？强制大家升级到 8.x 版本， 我 7.3 的就被抛弃了
|
 |
38
lm1368 14h 58m ago
不懂你的逻辑？为什么公布漏洞就是不负责任、坑人？
|
 |
39
vopin 14h 45m ago
本身计划的是一天之后更新吧。都存在和知道这么久了也不差多等这一天。
|
 |
40
Rache1 14h 16m ago
参考 PHP 基金会的官方说明
 https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ |
 |
41
labubu 13h 59m ago 1
恶意发掘，恶意公布😡😡😡
|
 |
42
qqmishi 13h 59m ago
AI 利用漏洞的速度太快，已经没有隐藏的意义了，还不如搞个大新闻让用户赶紧修复。
|
 |
43
wysnxzm 13h 58m ago
与其听信谣言,不如相信乌云
|
 |
44
vergilgao 13h 55m ago
修复方案可能还没做完，漏洞就被公布了，结果就是全网相关设备都暴露在这个 0day 之下了，黑客的狂欢。
|
 |
45
GeruzoniAnsasu 13h 54m ago
|
 |
47
vipfts 10h 58m ago
PHP 是世界上最好的语言。
|
|
48
liulihaocai 10h 43m ago via Android
@sagnitude 没有解决办法不应该尝试吗？提前一天告诉你让你有时间把网站关掉并第一时间更新，这就是在减少影响范围
出什么事情都要捂嘴建议去华为 |
|
49
liulihaocai 10h 38m ago via Android
@sagnitude 你在对另一个人的回复中提到大厂和重要网站，但是 security response center 部门的注意力是用来响应安全漏洞的，本身就是工作的一部分
|
|
50
sagnitude 9h 17m ago
@liulihaocai 这和捂嘴有什么关系，漏洞按业界惯例无论国内外就都是先发给厂商的啊，我不知道是你穿越了还是我穿越了，除非是已经发现了在野利用，正常都会有一段时间给厂商先大批量修复
|
|
51
liulihaocai 8h 45m ago via Android
@sagnitude 是你没搞清楚吧？这个漏洞在 8 月已经发给厂商了，后面内容被泄漏，可能被在野利用，所以先公布的
|
Select Language