PHP 这个漏洞是谁公布出来的？为啥这么不负责任

[jedeft]

太坑人了

[Yien]

OpenAI 发现的

[JinShu]

Gemini 也发现了

[BaiLinfeng]

会不会 php 的人自己知道，一直都在偷偷的利于，没想到被 AI 发现了……

[Zy143L]

开源的东西 但凡露点苗头 所有 ai 都会去扫

[liulihaocai]

公布出来还不负责任吗？难道手里留着 0day 不告诉别人去入侵网站，等被蜜罐发现网安公司爆出，就负责任了吗

[shoaly]

估计老哥 半夜被电话打醒, 爬起来修漏洞吧.

[FengMubai]

典型的官僚思维

[ScotGu]

身残志坚。

[Muniesa]

正常是应该先发补丁再公布漏洞的，然后 php 这个漏洞说是漏洞编号泄露+漏洞视频泄露+补丁泄露……

[yggd]

@Muniesa 因为现在发了补丁漏洞原理马上能被研究出来，他们自己预计 15 分钟就会被大规模利用，所以才预告。

[timnotom]

楼上说得对，我估计以后类似这种，都得预告吧？？

不然，你补丁一出来，ai 就能写代码攻击了？

[Sezxy]

正常流程应该是发现漏洞，通知厂商修复，厂商修复后发通知，然后再公布漏洞。

这次的问题是漏洞提前泄露了，厂商要预告修复，打乱了节奏

[jedeft]

那以后是不是可以：关注各类 IT 项目的安全更新，然后 ai 快速研究出攻击方案,就能批量攻击了？

[justfindu]

2 个月前就发现了, 一直在修复, 预期 22 号晚 10 点(北京时间)发补丁, 但是被提前 48 小时泄露了漏洞编号和细节, 只能提前一天发补丁.

[Sezxy]

所以 OP 说泄露出来的人不负责任，也正常

[orion1]

楼上叫高危漏洞不太合适，应该是致命漏洞，官方 cve 定的不是 high

[ty5yidc]

是 2024 年就知道了有这个漏洞，只是当时不知道怎么利用 所以一直挂在社区中，然后 8 月份大模型发现了利用的路径通报给 PHP，然后几家大公司开始着手修复，本来说先通知几个大厂或者各国 ZF 先提前修复，然后 8 月 22 号才公布修复的，有个老登提前把攻击路径泄漏了，所以事情闹的很大

[x86]

被当成 0day 不发出来才可怕

[zuokanyunqishi]

@ty5yidc 这个老登,不得被万人捶啊

[sagnitude]

@liulihaocai 正常就是要厂商先修复的，任何软件和网站都需要时间修复更新发布，直接全部泄露出来就是不负责任的

[lmoon]

@sagnitude 你这不扯吗，不公布发了补丁根本没几个更新的，黑客直接就开扫了，还不如直接爆出来呢

[sagnitude]

@lmoon 不更新是小站小公司不在乎，在乎的人多了去了，内网里天天都有漏洞扫描和更新报告，在乎的人的利益就不是利益？

[sagnitude]

@lmoon 不在乎的人你直接捅出来他也不会更新，管他干什么？

[yyzh]

https://zhuanlan.zhihu.com/p/2096468631265734766
在审计的时候就知道了。没人知道要怎么修。就不修了😋

[lmoon]

@sagnitude #22 你再快没有黑客快，说白了，之后都是提前爆，你敢发补丁就能立马开扫，你不会觉得你比人家快吧，真是搞笑

[alsas]

gemini 发现的

[sagnitude]

@lmoon 互联网上又不是只有个人网站，大客户或者大厂都可以有时间差去看未公开发布的补丁，去提前修复，补丁又不是做好了就立刻发到公网上，我不太理解你为什么总是认为一个人受伤就等于一百个人受伤这种唯恐天下不乱的想法，100 个网站只要有一小部分能提前打好补丁，受伤的人就少一个，一百个网站哪怕有一个能提前准备好，也比直接暴露强
这就是 CVE 窗口期的意义

[docx]

未必是坏事，如果没有公布引起大震动，只在小圈子里弄，可能很多站都不重视、不升级、甚至不知道，那样更危险

[Cu635]

@lmoon #21 @docx #28
“我们又不是专门搞网络安全的，能用就不要升级！！！”

[hunono]

公布的是补丁.这贴居然是 V2EX 的贴,不可思议.你有更好的处理方式欢迎说出来,而不是抛问题\开骂,然后什么都无法解决,浪费大家时间.

[hunono]

这贴极其像钓鱼

[liulihaocai]

@sagnitude 现在是 ai 时代，修复本身就是泄漏漏洞内容，漏洞修复发布后 15 分钟就被复现出 poc 了，你是想要 1 天准备时间还是 15 分钟准备时间呢

[sagnitude]

@liulihaocai AI 带来的问题业界现在也没有答案，我肯定也没有答案和解决办法啊，我就问你，直接发送到微博头条，有会变得更好么？你的目标究竟是大家一起死还是减少影响范围？

[sagnitude]

就和舆情一样，现在流行出任何事情先搞一波舆情，否则诉求就解决不了，不走流程走舆情是更好的方案吗
所有人的注意力都是有限的

[godall]

这是 php 自己搞出来的把？强制大家升级到 8.x 版本， 我 7.3 的就被抛弃了

[msg7086]

@sagnitude 我看你回了那么多贴都不知道你想表达的观点是什么，以及你想反驳的又是什么。

[lmoon]

@msg7086 #36 感觉不是蠢就是坏，论点没有一个站的住脚

[lm1368]

不懂你的逻辑？为什么公布漏洞就是不负责任、坑人？

[vopin]

本身计划的是一天之后更新吧。都存在和知道这么久了也不差多等这一天。