PHP 23 日另有特定配置问题公告，已更新正文；不是 21 日全部修复失效。
修正范围：从 21 日安全更新推进至 23 日的独立后续问题；明确条件和不同漏洞。
持续追踪
PHP 安全更新之后，修复仍要走到下游
PHP 是许多网站运行服务器端程序所依赖的语言环境。10 月 21 日，项目为四个受支持分支发布安全更新，处理两类可能导致远程代码执行的内存问题。一类来自内存耗尽时未完成初始化的数据，另一类来自异常退出后残留的跨请求状态。实际影响取决于运行方式与应用，不能把 PHP 的装机规模当成已受攻击的网站数。
基金会复盘显示，第一类风险的迹象在 2024 年已出现，但当时缺少明确利用路径。修复候选分别牵涉兼容性、新的拒绝服务风险和扩展生态；熟悉引擎的人少，共识决策又难以在取舍中收敛。2026 年 8 月起，更具体的研究报告使问题获得最高优先级。AI 辅助验证和同根因报告归并有帮助，专职投入及决策方式的调整同样推动了修复。
下游成本也已发生。Weird Gloop 的维护者 cookmeplox 自述，团队预防性关闭动态服务 13 小时，靠缓存仍服务约 94% 的页面访问；这说明缓存能减轻中断，不能说明动态功能正常，也不能代表所有网站。
周报补查发现，PHP 10 月 23 日又公告了 CVE-2026-115560：它需要先配置特定的会话序列化方式、再在运行中改为另一种方式等条件，且涉及启用的上传进度功能。官方称将按正常流程发布修复。这是新增的特定条件问题，不能据此说 21 日的全部修复失效。后续应沿具体版本与配置跟踪，而非把一次安全更新当成维护工作已经结束。
查看依据
信息来源：PHP Foundation · 官方复盘 · 10 月 23 日 PHP 官方后续公告 · cookmeplox · Weird Gloop 运营经历PHP 是大量网站运行服务器端程序所依赖的语言环境。10 月 21 日，项目发布四个受支持分支的安全更新，修复两类可能导致远程代码执行的内存问题：一种与内存耗尽时留下未完成初始化的数据有关，另一种与错误退出后残留的跨请求状态有关。实际可利用路径取决于运行方式与应用；“PHP 覆盖大量网站”不等于这些网站都已遭到攻击。
基金会的复盘把时间线往前推到了 2024 年：外部审计后的修复工作已经暴露第一类问题的迹象，但当时没有具体利用路径。候选修复各有代价，有的破坏兼容性，有的引入新的拒绝服务风险，有的需要大量扩展同步修改。熟悉引擎的人少，团队又依赖共识决策，修复数次停滞。2026 年 8 月起，Calif、OpenAI、Wiz 等报告把影响变得具体，修复才获得最高优先级。
这份材料的价值是解释 AI 发现能力怎样进入真实维护流程。团队用 AI 辅助验证和聚合同根因报告，但每次判断与补丁仍有人负责；基金会同时增加专职人员并改变决策方式。它承认此前延误是资源与流程共同造成的结构性失败。这里的新进展包括更快找出问题，也包括让难以取舍的修复有人及时决定。