btw I am Guix Committer now 
and just after that we got 4 and php incident, I updated php in guix the day it was released, so update if you haven't 
. uuf what a crazy welcome as a committer 
PHP 漏洞通報是個失誤
原發文者承認，自己曾在 Hacker News 提前提及 PHP 即將修補的兩項可造成遠端程式碼執行（RCE, Remote Code Execution）的弱點，編號為 CVE（Common Vulnerabilities and Exposures，公開資安弱點編號）-2026-109618 與 CVE-2026-109619。他原本只是想提醒同樣自行編譯 PHP 的人儘快留意更新，卻意外干擾協調式弱點揭露（coordinated disclosure，讓修補與公開時程配合的做法），使既定公開時程調整，也增加許多人的應變負擔，因此公開致歉並表示願意承擔責任。
他說，發文當下完全不知道存在保密期限（embargo）；他的消息來源告知沒有保密約定，而對方也是從更上游得到相同說法。這起事件讓他深感不安、睡眠受影響，並認為自己的善意提醒造成了意料之外的連鎖效應。他也表示，日後會更謹慎處理未公開的資安訊息。
news.ycombinator.com/item?id=5…
#php
If you run #Friendica or maintain a #Linux web #server running #PHP, whether bare metal, #Docker, or anything in between: **update PHP immediately.**
Two critical #RCE (Remote Code Execution) vulnerabilities affect PHP:
• CVE-2026-109618
• CVE-2026-109619
Currently fixed versions:
• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35
This affects PHP servers, PHP-FPM, Docker images and containers containing PHP, and applications such as Friendica.
Update your PHP packages. If you're using containers, pull/rebuild your images and recreate the containers.
Don't just update the application. Make sure the underlying PHP runtime is patched too.
Embargo is lifted. #PHP #CVSS10 #infosec
github.com/php/php-src/securit…
github.com/php/php-src/securit…
Patched versions:
(Some operating systems backport fixes and may have a different version number with the fix. I personally use deb.sury.org on Debian/Ubuntu to have some sanity, but not everyone does, so check your OS for specific guidance.)
## Summary PHP uses `longjmp()` for out-of-memory (OOM) errors to exit the current context and abort handling of the request. In some contexts, request memory is temporarily reachable before it ...GitHub
das scheint wohl ein wirklich kritischer PHP Fehler zu sein!
#php #Sicherheit #Security #Admin
Zwei Fehler machen Webserver mit PHP aus dem Netz angreifbar. Betroffen: Versionen der letzten 20 Jahre, Admins sollten patchen.Dr. Christopher Kunz (Security)
🔴 今日漏洞总结。
php [1]：RCE。请更新至 8.5.12/8.4.27/8.3.36/8.2.35。
Node.js [2]：RCE。请更新至 26.12.1/24.22.1/22.23.4。
eMudhra 证书 [3]：或可导致 MitM。请注意停用受影响证书、检查浏览器更新及更新 ca-certificates 等相关组件。测试方法和修复版本参见 [3]。
TiDB 云被骇 [4]：有用户元信息被泄露；但目前没有数据库数据泄露的证据。
1. php.net/~2. nodejs.org/~3. emudhra.we-have-a-problem.com/4. pingcap.com/~
#wtf #today #PHP #Nodejs #PKI #PingCAP
Telegram 原文
PHP is a popular general-purpose scripting language that powers everything from your blog to the most popular websites in the world.php.net
blog.gslin.org/archives/2026/1…
PHP 的兩包 RCE
#ace #advisory #arbitrary #code #execution #gpt #Gpt56 #language #large #llm #model #openai #php #rce #remote #security #sol #vulnerability
前面在「PHP 的安全性漏洞，預告今天晚上十點 (2026/10/21 14:00 UTC) 更新」提到的 PHP 安全性漏洞的確就是 RCE，在剛剛釋出細節了：「Security advisory: Critical remote code execution vulnerabilities, update now」。 這兩包分別是 OOM 時觸發： RCE via...Gea-Suan Lin (Gea-Suan Lin's BLOG)
📣 Announcing the immediate availability of:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
‼️ These address the following critical security issues:
- Remote Code Execution via Out of Memory corruption (CVE-2026-109618)
- Remote Code Execution via Stale Global State (CVE-2026-109619)
📝 php.net/ChangeLog-8.php
🎁 php.net/downloads?source=Y
Windows: php.net/downloads.php?os=windo…
Read more: php.net/archive/2026.php#2026-…
PHP is a popular general-purpose scripting language that powers everything from your blog to the most popular websites in the world.www.php.net
🔴 PHP 发布紧急修复版本 8.5.12/8.4.27/8.3.36/8.2.35。建议受影响网站主立即更新。
- 文章中也提供了无法升级时的 workaround，但它们不能完全修补漏洞。
- Cloudflare 也配置了一些 WAF，但它们也不能完全修补漏洞。
[2]- PHP 8.1 及更低版本不会被官方修复。
1. php.net/archive/2026.php#2026-…2. developers.cloudflare.com/~
thread: /4940
#PHP
Telegram 原文
PHP is a popular general-purpose scripting language that powers everything from your blog to the most popular websites in the world.www.php.net
或是因为 PHP 漏洞，Pixiv、DeviantArt、Namesilo 等网站暂时停止服务。
距离 PHP 发布 fix 还有约一小时。PHP 8.2 之前的版本已经停止支持，可能不会发布修复。
- pixiv.net/- fanbox.cc/- deviantart.com/- namesilo.com/
linksrc: /4938
#PHP #Pixiv #DeviantArt #Namesilo
Telegram 原文
🔴 PHP 严重漏洞被泄露和复现；欧盟机关建议 PHP 服务在修复漏洞前暂时下线。 - PHP 官网称修复会在今日 22:00 (UTC+8) 发布。 - 有说法称 mitigation 是在 php.ini 设置 session.upload_progress.enabled = Off 。 1. https://php.net/archive/2026.php#2026-10-20-1 2. cert.europa.eu/~ 3.Telegram
🔴 PHP 严重漏洞被泄露和复现；欧盟机关建议 PHP 服务在修复漏洞前暂时下线。
- PHP 官网称修复会在今日 22:00 (UTC+8) 发布。
- 有说法称 mitigation 是在 php.ini 设置 session.upload_progress.enabled = Off 。
1. php.net/archive/2026.php#2026-…2. cert.europa.eu/~3. HackerNews:50167754
CVE: CVE-2026-109618, CVE-2026-109619
linksrc: t.me/usr_bin_cat/4464
#php
Telegram 原文
PHP is a popular general-purpose scripting language that powers everything from your blog to the most popular websites in the world.php.net
PHP/Zend Engine 将转为以兼容 GPL 的 BSD 3-Clause 协议授权。
- 协议更改将从 PHP 8.6 开始生效。
[1]- 之前的 PHP License 3 和 3.1 版本截至 2020 年都已被 OSI 认证，但它们并不兼容 GPL。
1. php.net/license/2. https://ben.ramsey.dev/~
linksrc: blog.gslin.org/~
#PHP #Opensource
Telegram 原文
PHP/Zend Engine 将转为以兼容 GPL 的 BSD 3-Clause 协议授权。 - 协议更改将从 PHP 8.6 开始生效。 [1] - 之前的 PHP License 3 和 3.1 版本截至 2020 年都已被 OSI 认证，但它们并不兼容 GPL。 1. https://php.net/license/ 2. https://ben.ramsey.dev/~ linksrc: blog.gslin.org/~ #PHP #OpensourceTelegram
