好心办坏事？PHP漏洞泄露者公开道歉：完全不知有保密协议

　　曾导致全球大量网站紧急下线避难的PHP重大RCE漏洞泄露事件有了新进展。泄露者petecooper在沉默数日后公开发声道歉，坦承自己在不知情的情况下打破了保密协议，对打乱官方漏洞披露时程、加重全球工程师工作负担深表歉意，并表示愿意承担全部责任。

　　事件源于10月20日，petecooper在网上发文，透露PHP将于中欧夏令时间10月22日18时（北京时间10月23日凌晨0时）公开两项CVSS评分高达9.2的重大RCE漏洞，提醒大家及早做好维护准备。

　　信息发布后立即遭到网络安全从业人员的强烈谴责。按照行业惯例，漏洞信息在修复正式推出前必须严格保密，提前公布只会刺激黑客加速利用自动化工具和代理程序挖掘攻击路径。尽管petecooper立即删除了贴文，但相关内容早已流出传播。

　　面对全面失控的风险，PHP安全团队随即决定提前发布应急安全更新，全球系统管理员也正式进入紧急维护状态。

　　最终，PHP官方于北京时间10月21日晚间22:00紧急释出8.5.12、8.4.27、8.3.36以及8.2.35等多个版本的更新，全面修补了代号为PHP2Shell的漏洞。

　　petecooper解释称，自己在发文前曾向消息来源进行确认，对方均表示该项信息并无保密协议限制，自己完全不清楚背后设有严格的信息公开禁令。其初衷纯粹是为了提醒处境相同的系统管理员及早应对，未料会引发如此严重的连锁反应。

　　他还强调，自己与本案涉及的任何官方组织均无利益关系，对于自己出于善意却导致保密期失效、全球团队被迫连夜加班深感内疚，希望在正式坦承与道歉之后，这一事件能够告一段落。