时间线
PHP2Shell 披露时间线
从发现苗头到发布补丁历时两年——而在最后 24 小时里，禁令在多个环节相继泄露。所有时间均为 UTC。
最后核实 2026-10-22
2024
OSTIF 组织、Quarkslab 执行的 PHP 安全审计。在修复另一个问题时首次注意到 OOM 问题。
来源: PHP Foundation
2026-05
PHP 基金会成立生态安全团队（Ecosystem Security Team）。
来源: PHP Foundation
2026-07
Alexandre Daubois 加入基金会；Calif 在 Patch the Planet 计划下启动审计（7 月 30 日）。
来源: PHP Foundation
2026-08-11
Calif 与 OpenAI 各自独立报告了同一个 OOM 根因。
来源: PHP Foundation
2026-08-19
Wiz Research 发现第一个 PHP 漏洞；随后在 Drupal（8 月 20 日）和 WordPress（8 月 21 日）上实现无认证 RCE。
来源: Wiz
2026-08-24
Wiz 向 PHP 安全团队报告更多攻击路径。
来源: Wiz / PHP Foundation
2026-09-09
Daniel Scherzer 加入基金会的安全工作。
来源: PHP Foundation
2026-09-18
OpenAI 报告更多攻击路径。
来源: PHP Foundation
2026-09-21
PHP 确认 Wiz 的报告并启动协调修复。
来源: Wiz
2026-10-20 15:00 UTC
CVE 编号开始在论坛和社交媒体上流传，并附带错误的 CVSS 10.0 分。
来源: PHP Foundation
2026-10-20 19:30 UTC
PHP 提前发布预告。
来源: PHP Foundation
2026-10-20 ~20:00 UTC
Calif 误发布了一段展示其概念验证（PoC）的视频。
来源: PHP Foundation
2026-10-20 23:00 UTC
缓解建议发给了部分关键基础设施运营方，可能已经外泄。
来源: PHP Foundation
2026-10-21 03:02 UTC
Cloudflare WAF 规则对所有套餐（含免费版）生效。
来源: Cloudflare
2026-10-21 07:41 UTC
Chainguard 发布已修复镜像，比禁令解除时间早了 6 个多小时。
来源: PHP Foundation
2026-10-21 11:51 UTC
BambooHR 出于预防主动停服（美国、加拿大、爱尔兰）。
来源: BambooHR status page
2026-10-21 (CEST)
荷兰政府和教育机构网站（包括 DigiD 和 MijnOverheid）出于预防下线。
来源: NOS
2026-10-21 14:00 UTC
协调发布：PHP 8.5.12、8.4.27、8.3.36、8.2.35，并为 7.4、8.0、8.1 提供源码回移植。原定 10 月 22 日发布。
来源: php.net / PHP Foundation
2026-10-21 15:03 UTC
BambooHR 表示补丁已应用，正在测试。
来源: BambooHR status page
为什么发布提前了一天
协调发布原定于 10 月 22 日 14:00 UTC。从 10 月 20 日下午开始，CVE 编号公开流传（附带错误的 10.0 分），一段概念验证视频被误发布，发给关键基础设施运营方的缓解建议也可能已经外泄。10 月 21 日上午，Chainguard 提前 6 个多小时发布了已修复镜像。PHP 于当天 14:00 UTC 发布。
PHP 基金会称，其安全团队自 7 月 1 日以来已发布 15 个 CVE，同期处理了 100 多份无效、重复或无法复现的报告。
各方分工
Calif
自 7 月 30 日起在 “Patch the Planet” 计划下进行审计；8 月 11 日报告了 OOM 根因，与 OpenAI 相互独立。
OpenAI Codex Security
8 月 11 日报告了同一根因，9 月 18 日又报告了更多攻击路径。
Wiz Research
自 8 月 19 日起发现更多攻击路径，在 Drupal、WordPress 和 Joomla 上演示了认证前 RCE，并于 8 月 24 日提交报告。
PHP 安全团队
开发了修复方案（以软 / 硬 OOM 限制取代 longjmp），发布 8.2–8.5 的新版本，并为 7.4–8.1 提供源码回移植。
PHP 基金会
资助 2026 年 5 月成立的生态安全团队；发布了此次披露的复盘。
你所在时区的发布时间
| 时区 | 补丁发布时间 | 日期 |
|---|---|---|
| UTC | 14:00 | 2026 年 10 月 21 日（周二） |
| 美国太平洋时间（PDT，UTC−7） | 07:00 | 10 月 21 日 |
| 美国中部时间（CDT，UTC−5） | 09:00 | 10 月 21 日 |
| 美国东部时间（EDT，UTC−4） | 10:00 | 10 月 21 日——搜索 “EST” 的人指的就是这个 |
| 英国（BST，UTC+1） | 15:00 | 10 月 21 日 |
| 中欧夏令时（CEST，UTC+2） | 16:00 | 10 月 21 日——荷兰、比利时、卢森堡、德国、奥地利、法国…… |
| 印度（IST，UTC+5:30） | 19:30 | 10 月 21 日 |
| 北京 / 香港 / 新加坡（UTC+8） | 22:00 | 10 月 21 日 |
| 日本（JST，UTC+9） | 23:00 | 10 月 21 日 |
| 悉尼（AEDT，UTC+11） | 01:00 | 10 月 22 日 |