太坑人了
 |
YienOct 22
1
OpenAI 发现的
|
 |
JinShuOct 22
2
Gemini 也发现了
|
 |
3
会不会 php 的人自己知道，一直都在偷偷的利于，没想到被 AI 发现了……
|
4 |
Zy143LOct 22
4
开源的东西 但凡露点苗头 所有 ai 都会去扫
|
 |
5
公布出来还不负责任吗？难道手里留着 0day 不告诉别人去入侵网站，等被蜜罐发现网安公司爆出，就负责任了吗
|
 |
shoalyOct 22
6
估计老哥 半夜被电话打醒, 爬起来修漏洞吧.
|
 |
7
典型的官僚思维
|
 |
ScotGuOct 22
8
身残志坚。
|
 |
MuniesaOct 22
9
正常是应该先发补丁再公布漏洞的，然后 php 这个漏洞说是漏洞编号泄露+漏洞视频泄露+补丁泄露……
|
 |
timnotomOct 22
11
楼上说得对，我估计以后类似这种，都得预告吧？？
不然，你补丁一出来，ai 就能写代码攻击了？ |
 |
SezxyOct 22
12
正常流程应该是发现漏洞，通知厂商修复，厂商修复后发通知，然后再公布漏洞。
这次的问题是漏洞提前泄露了，厂商要预告修复，打乱了节奏 |
 |
13
那以后是不是可以：关注各类 IT 项目的安全更新，然后 ai 快速研究出攻击方案,就能批量攻击了？
|
 |
justfinduOct 22
14
 2 个月前就发现了, 一直在修复, 预期 22 号晚 10 点(北京时间)发补丁, 但是被提前 48 小时泄露了漏洞编号和细节, 只能提前一天发补丁. |
|
SezxyOct 22
15
所以 OP 说泄露出来的人不负责任，也正常
 |
 |
orion1Oct 22
16
楼上叫高危漏洞不太合适，应该是致命漏洞，官方 cve 定的不是 high
|
 |
17
是 2024 年就知道了有这个漏洞，只是当时不知道怎么利用 所以一直挂在社区中，然后 8 月份大模型发现了利用的路径通报给 PHP，然后几家大公司开始着手修复，本来说先通知几个大厂或者各国 ZF 先提前修复，然后 8 月 22 号才公布修复的，有个老登提前把攻击路径泄漏了，所以事情闹的很大
|
 |
x86Oct 22
18
被当成 0day 不发出来才可怕
|
 |
zuokanyunqishiOct 22
19
@ty5yidc 这个老登,不得被万人捶啊
|
 |
sagnitudeOct 22
20
@liulihaocai 正常就是要厂商先修复的，任何软件和网站都需要时间修复更新发布，直接全部泄露出来就是不负责任的
|
 |
yyzhOct 22 via Android
24
https://zhuanlan.zhihu.com/p/2096468631265734766
在审计的时候就知道了。没人知道要怎么修。就不修了😋 |
 |
alsasOct 22
26
gemini 发现的
|
|
27
@lmoon 互联网上又不是只有个人网站，大客户或者大厂都可以有时间差去看未公开发布的补丁，去提前修复，补丁又不是做好了就立刻发到公网上，我不太理解你为什么总是认为一个人受伤就等于一百个人受伤这种唯恐天下不乱的想法，100 个网站只要有一小部分能提前打好补丁，受伤的人就少一个，一百个网站哪怕有一个能提前准备好，也比直接暴露强
这就是 CVE 窗口期的意义 |
 |
28
未必是坏事，如果没有公布引起大震动，只在小圈子里弄，可能很多站都不重视、不升级、甚至不知道，那样更危险
|
 |
hunonoOct 22
30
公布的是补丁.这贴居然是 V2EX 的贴,不可思议.你有更好的处理方式欢迎说出来,而不是抛问题\开骂,然后什么都无法解决,浪费大家时间.
|
|
hunonoOct 22
31
这贴极其像钓鱼
|
|
liulihaocaiOct 22
32
@sagnitude 现在是 ai 时代，修复本身就是泄漏漏洞内容，漏洞修复发布后 15 分钟就被复现出 poc 了，你是想要 1 天准备时间还是 15 分钟准备时间呢
|
|
sagnitudeOct 22
33
@liulihaocai AI 带来的问题业界现在也没有答案，我肯定也没有答案和解决办法啊，我就问你，直接发送到微博头条，有会变得更好么？你的目标究竟是大家一起死还是减少影响范围？
|
|
sagnitudeOct 22
34
就和舆情一样，现在流行出任何事情先搞一波舆情，否则诉求就解决不了，不走流程走舆情是更好的方案吗
所有人的注意力都是有限的 |
 |
godallOct 22
35
这是 php 自己搞出来的把？强制大家升级到 8.x 版本， 我 7.3 的就被抛弃了
|
 |
lm1368Oct 22
38
不懂你的逻辑？为什么公布漏洞就是不负责任、坑人？
|
 |
vopinOct 22
39
本身计划的是一天之后更新吧。都存在和知道这么久了也不差多等这一天。
|
 |
Rache1Oct 22
40
参考 PHP 基金会的官方说明
 https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ |
 |
41
恶意发掘，恶意公布😡😡😡
|
 |
qqmishiOct 22
42
AI 利用漏洞的速度太快，已经没有隐藏的意义了，还不如搞个大新闻让用户赶紧修复。
|
 |
wysnxzmOct 22
43
与其听信谣言,不如相信乌云
|
 |
vergilgaoOct 22
44
修复方案可能还没做完，漏洞就被公布了，结果就是全网相关设备都暴露在这个 0day 之下了，黑客的狂欢。
|
 |
GeruzoniAnsasuOct 22
45
|
 |
vipftsOct 22
47
PHP 是世界上最好的语言。
|
|
liulihaocaiOct 22 via Android
48
@sagnitude 没有解决办法不应该尝试吗？提前一天告诉你让你有时间把网站关掉并第一时间更新，这就是在减少影响范围
出什么事情都要捂嘴建议去华为 |
|
liulihaocaiOct 22 via Android
49
@sagnitude 你在对另一个人的回复中提到大厂和重要网站，但是 security response center 部门的注意力是用来响应安全漏洞的，本身就是工作的一部分
|
|
sagnitudeOct 22
50
@liulihaocai 这和捂嘴有什么关系，漏洞按业界惯例无论国内外就都是先发给厂商的啊，我不知道是你穿越了还是我穿越了，除非是已经发现了在野利用，正常都会有一段时间给厂商先大批量修复
|
|
liulihaocaiOct 22 via Android
51
@sagnitude 是你没搞清楚吧？这个漏洞在 8 月已经发给厂商了，后面内容被泄漏，可能被在野利用，所以先公布的
|
 |
sampengOct 23 via iPhone
52
如果不预告，嘿嘿，想都不敢想一周后乐子有多大
|
 |
mumuxiOct 23
53
PHP 是世界上最好的语言 PHP 是世界上最好的语言
|
Select Language