- 2026 年又會出現另一個 PHP 嚴重安全漏洞嗎？26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
規則
如果 PHP 的重大漏洞首次於市場建立日至 2026年12月31日 下午11:59 ET 期間公開揭露，且在該截止時間前符合下列所有要求，本市場將結算為「是」。否則，此市場將判定為「否」。 公開揭露是指可公開取得且足以識別特定漏洞的資訊，不論是透過官方公告、研究人員發布的內容、外洩資訊，或公開的程式碼提交。針對未明確指出漏洞的一般警告，本身不足以符合資格。在市場建立前已公開揭露的漏洞，不會僅因其在市場期間取得 CVE 識別碼或符合資格的評分而符合資格。 符合資格的漏洞必須影響 PHP 本身（PHP 解譯器及官方 php-src 原始碼中隨附的擴充功能）、必須獲指派公開可查的 CVE 識別碼，並且必須由 PHP 專案或美國國家漏洞資料庫（NVD）公開發布 CVSS 基本分數至少為 9.0（依任何 CVSS 版本計算）。只影響不再支援的 PHP 版本或隨附的選用擴充功能的漏洞，如符合其他要求，仍符合資格。與 php-src 分開發行的擴充功能（例如透過 PECL 發行）不符合資格。 來自任一來源的符合資格評分即已足夠，不論另一來源或其他 CVSS 版本給出的分數較低。只有由 NVD 本身（標示為 NIST 評定）或 PHP 專案發布的分數才計入；NVD 顯示但標示為由其他任何組織評定的分數不符合資格。市場期間一旦符合所有要求，之後的分數修訂不會影響結算。 CVE-2026-109618 和 CVE-2026-109619（「PHP2Shell」）不符合資格。以 PHP 編寫或在 PHP 上執行的第三方軟體（例如 WordPress、Laravel、Drupal、外掛程式或其他框架和程式庫）中的弱點不符合條件。 本市場的主要結算來源為 PHP 專案的官方資訊（包括 php.net 和 php-src 的 GitHub 安全公告）以及 NVD（https://nvd.nist.gov）；不過，也可以採用可信報導所形成的共識。
機器翻譯。如有爭議，以原文為準。