AI怪盗图10月25日消息，导致全球大量网站紧急下线避难的PHP重大RCE漏洞，其泄露者petecooper在沉默数日后公开道歉，坦承自己在不知情的情况下打破了保密协议，对打乱官方漏洞披露时程、加重全球工程师工作负担深表歉意，愿意承担全部责任。
事件源于10月20日，petecooper在网上发文，透露PHP将于中欧夏令时间10月22日18时（北京时间10月23日凌晨0时）公开两项CVSS评分达9.2的重大RCE漏洞，提醒大家及早做好维护准备。这一公开时间点原本属于官方保密计划的一部分，任何提前泄露都可能导致恶意攻击者抢在补丁发布前利用漏洞。业内人士指出，此类高危漏洞的披露通常需要遵循严格的协调机制，既保证技术团队有足够时间修复，又避免暴露窗口期过长。petecooper的提前告知虽出于善意，却在客观上打破了这一平衡。
信息发布后立即遭到网络安全从业人员强烈谴责，漏洞信息在修复正式推出前必须严格保密，提前公布只会刺激黑客加速利用自动化工具和代理程序挖掘攻击路径，虽然petecooper立即删除贴文，但相关内容早已流出。网络安全专家分析，这类高危漏洞一旦被公开，攻击者利用自动化工具可在几小时内扫描大量目标，导致企业面临零日攻击风险。事实上，过去几年中类似案例并不少见，例如2017年的Apache Struts2漏洞泄露事件就曾引发广泛的数据泄露。
面临全面失控的风险，PHP安全团队随即宣布提前发布应急安全更新，全球系统管理员正式进入紧急维护状态。
PHP官方最终于北京时间10月21日晚间22:00紧急释出8.5.12、8.4.27、8.3.36以及8.2.35等版本更新，全面修补PHP2Shell漏洞。这一紧急响应虽然及时，但也反映出漏洞披露流程的脆弱性：一旦信息外泄，整个行业必须付出额外的运维成本。据估算，全球范围内数以万计的系统管理员在此次事件中被迫加班进行紧急打补丁，造成的人力成本和时间损失难以量化。
petecooper解释，自己在发文前曾向消息来源确认，对方皆表示该项信息并无保密协议限制，自己完全不清楚背后设有严格的信息公开禁令。初衷纯粹是为了提醒处境相同的系统管理员及早应对，未料会引发如此严重的连锁反应。从技术角度看，petecooper的行为虽然无心，但反映出开源社区中信息流通的混乱。许多开源项目的漏洞披露机制并不透明，参与者可能在不了解规则的情况下无意中破坏流程。业界呼吁应加强漏洞协调框架的宣传教育，避免类似事件重演。
petecooper强调，自己与本案涉及的任何官方组织均无利益关系，对于自身善意却导致保密期失效、全球团队被迫连夜加班深感内疚，希望在正式坦承与道歉后，事件能告一段落。然而，安全专家指出，此次事件对PHP社区乃至整个开源生态的信任造成了一定程度的冲击。未来如何平衡透明沟通与保密义务，仍是亟待解决的课题。petecooper的道歉虽是一份善意的姿态，但更重要的在于推动行业建立更清晰的披露流程指南。
