Today's PHP Security Release, and How We're Strengthening PHP Security↗ (원문, 새 창)

PHP 전체 8.x 라인에 대한 보안 업데이트가 10월 21일 공개됐으며, 조율된 공개 과정에서 발생한 정보 유출로 인해 원래 계획보다 하루 앞당겨 배포됐다. 10월 20일 15시(UTC)경 CVE 식별자가 잘못된 배포 시각·CVSS 점수(실제 9.2를 10.0으로 표기)와 함께 온라인에 유출됐고, 이에 PHP 측은 사전 공지를 앞당기고 배포일을 10월 22일에서 21일로 변경했다. 이후 보안업체 Calif가 실수로 공개한 개념증명(PoC) 영상이 추가 유출되며 공격 코드 확산이 가속화됐다. 타임라인에 따르면 Wiz 리서치가 8월 19일 Wiz Atlas·제미니4 아르곤·GPT-5.6 Sol을 이용해 취약점을 처음 발견했고, 드루팔·워드프레스 대상 무인증 원격코드실행이 확인된 뒤 두 달간 조율된 패치 과정을 거쳐 이번에 공개됐다.

• 조율된 공개 과정 중 CVE 정보가 유류되어 배포일을 10월 22일에서 21일로 앞당김
• 유류된 CVSS 점수는 10.0으로 잘몽 전달뇈으니 실제는 9.2
• 보안업사 Calif가 PoC 실험 영상을 실수로 공개해 개출 구채 확산이 가속화
• Wiz 리서젂이 8월 19일 제미니4 아르곤·GPT-5.6 Sol로 주례 취약점을 처음 발견