PHP 指供應鏈安全廠商 Chainguard 讓網路上的大片服務暴露在風險中
PHP blames supply chain security biz Chainguard for putting huge chunks of the web at risk
摘要
The Register 資安編輯 Jessica Lyons 報導：PHP 維護者在緊急修補釋出後發文，把揭露被打亂的一部分歸因於 Chainguard 提前公開含修補的映像。
重點
- 漏洞由 Calif、OpenAI、Wiz 找到，三家都說使用人工智慧模型。編號為 CVE-2026-109618、CVE-2026-109619，未驗證的攻擊者可在跑 PHP 的伺服器上執行程式碼。
- 副標引 Chainguard 執行長向該報說的原則：盡量協調揭露，除非已有野外主動利用的證據。
- 報導寫 Lorenc 不否認時序，並為提前公開辯護。他描述自行還原漏洞的經過與蜜罐觀察，那些句子接近攻擊方法，此處不轉述。
- 這是媒體訪問，不是 Chainguard 網站上的第一方聲明。