产业观察
告诉HN：我在不知情中破坏了PHP RCE漏洞的 embargo 禁令，我很抱歉
原标题: 告诉HN：我在不知情中破坏了PHP RCE漏洞的 embargo 禁令，我很抱歉
📋总体概括
一名Hacker News用户发帖道歉，称自己在不知情的情况下提前披露了两个PHP远程代码执行漏洞（CVE-2026-109618与CVE-2026-109619）的相关信息，打乱了原本的协同披露时间表，给相关方增加了额外工作量。他解释称自己从源码编译PHP、跟跟4周一次的发布周期，发帖本意是提醒同样处境的用户重视更新 urgency，并称其信息来源告知不存在 embargo。事件暴露了漏洞协同披露链条中信息传递失灵的风险。
⚡关键信息
- ▸涉事用户提前公开了PHP两个RCE漏洞CVE-2026-109618与CVE-2026-109619的信息
- ▸提前披露打乱了协同披露时间表，产生连锁影响与额外工作量
- ▸当事人称其联系人及上一级联系人均告知不存在 embargo，并非故意
- ▸当事人是跟随PHP 4周发布周期、从源码编译PHP的用户，发帖意在提醒他人及时更新
- ▸当事人在HN发帖公开道歉并承担全部责任，称已吸取教训
🔥犀利点评
这事最讽刺的地方在于：漏洞还没被披露，披露链条本身先漏了。所谓「没有 embargo」的说法层层口头传递，全凭信任没有书面确认，最终酿成提前泄密——这是典型的协同披露流程单点失效。发帖人从源码编译PHP、追踪发布周期，恰恰是安全意识较高的重度用户都能被误导，说明漏洞通知机制对这类小众用户群体完全没有覆盖。道歉姿态可以，但PHP安全团队更该反思通知流程，而不是只等一个网友认错。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 Hacker News 阅读全文 →