洩密者公開道歉 好心提醒反致連鎖效應
【上水了 🤬】導致所有管理員疲於奔命、全球大量網站要離線避難的 PHP 重大 RCE 漏洞，其洩密者在「深潛多日」後終於「上水」。他在 Hacker News 討論區公開道歉，坦承自己在不知情的情況下打破了保密協議（Embargo），並表示自己對打亂官方漏洞揭露時程、加重全球工程師的工作負擔深感歉意，願意承擔全數責任。
事件源於一名名為「petecooper」的論壇用戶，於 10 月 20 日在 Hacker News 的「Tell HN」板塊發文，透露 PHP 將於中歐夏令時間（CEST）10 月 22 日 18 時（香港時間 10 月 23 日凌晨 0 時）公開兩項 CVSS 評分達 9.2 的重大 RCE 漏洞，內含 CVE 識別碼及概念驗證（PoC）攻擊展示影片連結，提醒大家應及早做好維護準備。
然而，該貼文刊登後立即遭到網絡安全從業人員強烈譴責，認為漏洞資訊在修補程式正式推出前必須嚴格保密，提早公佈只會刺激駭客加速利用自動化工具與代理程式（Agent）挖掘攻擊路徑。儘管他隨後立即刪除貼文，但相關內容早已完全流出。
面臨資訊全面失控的風險，PHP 安全團隊隨即宣布提前發布應急安全更新，全球系統管理員亦正式進入緊急維護狀態。PHP 官方最終於日本時間 10 月 21 日晚間 11:00（HKT 22:00），緊急釋出包括 8.5.12、8.4.27、8.3.36 以及 8.2.35 等版本更新，全面修補 PHP2Shell 漏洞。
petecooper 解釋，自己在發文前曾向多方消息來源確認，對方皆表示該項資訊並無保密協議限制，自己完全不清楚背後設有嚴格的資訊公開禁令（Embargo）。他補充，由於自己平時習慣配合 PHP 發布週期自行從原始碼（Source Code）進行編譯與最佳化部署，初衷純粹是為了提醒處境相同的系統管理員及早因應，未料會引發如此嚴重的連鎖反應。
petecooper 強調，自己與本案涉及的任何官方組織均無利益關係，對於自身善意卻導致保密期失效、全球團隊被迫連夜加班深感內疚，希望在正式坦承與道歉後，事件能告一段落。
資料來源:
