PHP 基金会称 Chainguard 在紧急补丁发布前破坏安全披露禁令

PHP 基金会称，Chainguard 于 10 月 21 日在 PHP 两个关键远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619 的紧急补丁协调发布前六个多小时，单方面发布含修复的容器镜像，破坏安全披露禁令。Chainguard CEO Dan Lorenc 称因多家安全厂商报告在野利用而决定提前发布，称公司用测试框架和一个前沿 AI 模型独立发现了漏洞；基金会则表示其检查的公开 PoC 在发布前未发现可用的利用代码。基金会还称 CVE 编号泄露和意外发布的利用演示视频此前已打乱协调流程，并承认 2024 年发现的内存管理问题因决策流程和资源不足多次停滞，8 月 Calif 和 OpenAI 报告同一根因后才成为最优先事项，安全团队已开始转向多数决。