數字看板
這五個數字常在標題裡輪流出現，但它們數的不是同一件事，不要加總。
69.3%
已知伺服器端語言的網站裡，使用 PHP 的比例
近 5,500 萬
當天看到跑著 PHP 的網路資產
約 2,260 萬
暴露在網路上、可能受影響的實例
59%
有回報版本號的約 150 萬台主機中，跑的是拿不到官方修補的版本
近 200 個檔
這次修補動到的檔案，程式碼超過一萬行
最新五則
PHP爆「php2shell」重大漏洞 免登入即可遠端執行程式碼 官方籲立即升級
台灣新聞媒體中文（台灣）
PHP2Shell 重大漏洞震撼全球！駭客可能不必登入就能控制網站，數發部資安署急籲修補
台灣資安廠商部落格中文（台灣）
七成網站底層PHP爆十年來最嚴重漏洞 黑客可遙距奪權 多國政府網站預防性下線
香港新聞媒體中文（香港）
PHP重大漏洞引爆全球資安危機！多國政府緊急關閉網站
台灣新聞媒體中文（台灣）
連高市早苗都親自示警！PHP 爆重大漏洞，AI 挖出潛伏 20 年資安危機
台灣科技媒體中文（台灣）
時間軸精華
時間為原始來源標示；只有日期的不補時分。
外部稽核看見跡象，修法停擺，後來稱為結構性失敗
多年來首次外部稽核：Sovereign Tech Agency 出資、OSTIF 組織、Quarkslab 執行。核心開發者在修另一個問題時看到記憶體耗盡問題的跡象，當時找不到具體路徑。幾種修法互相衝突（破壞相容、帶來阻斷服務風險，或要改大量擴充），共識決的小團隊停擺數月。基金會後來稱之為結構性失敗。來源只有年份。
Calif 與 OpenAI 同日回報，Thai Duong 致電基金會
Calif 研究員 Ryan Austin 向 PHP 回報，與 2024 年那個記憶體耗盡問題同根。OpenAI 同日獨立回報同一根因。Calif 執行長 Thai Duong 致電 Volker Dusch。
PHP 確認 Wiz 的報告，開始協調修補
PHP 確認 Wiz 的報告，開始協調修補。原本約定先不公開細節，等修補一起公開。
Amazon MadPot 看到利用嘗試，比公開早四天
Amazon MadPot 蜜罐看到 PHP2Shell 利用嘗試，來源與商業匿名網路有關，比公開早四天。對方如何在禁運期間得知利用方式，AWS 表示不明。時分未公布。調查日誌 AWS 建議至少從這一天看。
CVE 編號在論壇與社群流傳
約 15:00 UTC（台灣 23:00），CVE 編號在論壇與社群流傳，附錯誤的發布時間與錯誤的 CVSS 10.0（官方為 9.2）。當時沒有技術細節。
PHP 發出預告，修補提前到 10 月 21 日 14:00 UTC
19:30 UTC（台灣 10 月 21 日 03:30），PHP 發出預告。釋出日從 10 月 22 日提前到 10 月 21 日 14:00 UTC（台灣 22:00）。預告本身沒有 CVE 編號，也沒有寫遠端程式碼執行。官方保留細節公開或出現在野利用就再提前的權利。發行商仍在打包，所以沒有立刻公開。原訂 10 月 22 日的鐘點有三種講法，都是計畫，不是已經發生的事。
Calif 誤發一段 PoC 展示影片
約 20:00 UTC（台灣 10 月 21 日約 04:00），Calif 誤發一段 PoC 展示影片。刪除後副本仍在社群流傳，加速隔日的 PoC。Huntress 亦表示看過後來下架的影片。
Chainguard 單方面打破禁運
07:41 UTC（台灣 15:41），Chainguard 在協調發布前六個多小時，單方面打破禁運，發布含修補的映像。基金會寫明，攻擊者因而能提前對照修補。
修補發布：8.5.12、8.4.27、8.3.36、8.2.35
14:00 UTC（台灣 22:00），修補發布：PHP 8.5.12、8.4.27、8.3.36、8.2.35。官方安全公告與基金會說明同日公開。發布當下，安全團隊表示尚未發現可運作的公開 exploit。
修補公開後數小時，AWS 稱已被廣泛在野利用
14:00 UTC 之後數小時，AWS 稱又出現更多 PoC，感測器幾乎立刻被打到。AWS 稱其後已被廣泛在野利用。來源沒有更細的鐘點，此筆時刻沿用發布時刻並標為約略。
多國政府與民間網站預防性下線或限制功能
10 月 21 日當天至 10 月 22 日，多國政府與民間網站預防性下線或限制功能。下線多半是預防，不表示已經被入侵。比利時 CCB 當時尚未記錄到針對比利時網站的攻擊。個別名單見關站資料。