- 2026 年 PHP 会再出现一个严重安全漏洞吗？26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
规则
如果 PHP 中的严重漏洞首次公开披露的时间在市场创建后至 2026年12月31日、23:59 ET 之间，且在该截止时间前满足以下所有要求，则本市场将结算为“是”。否则，此市场将判定为“否”。 公开披露是指足以识别特定漏洞的公开可用信息，无论其来自官方公告、研究人员发表的内容、泄露信息还是公开的代码提交。针对未明确指明漏洞的一般性警告本身不足以满足要求。在市场创建前已公开披露的漏洞，不会仅仅因为它在市场期间获得了 CVE 标识符或符合要求的评分就满足条件。 符合条件的漏洞必须影响 PHP 本身（PHP 解释器及官方 php-src 源代码中捆绑的扩展），必须被分配一个公开可查的 CVE 标识符，并且必须由 PHP 项目或美国国家漏洞数据库（NVD）发布公开的 CVSS 基础评分，评分为 9.0 或更高（适用于任何 CVSS 版本）。仅影响不再受支持的 PHP 版本或可选捆绑扩展的漏洞，如果满足其他要求，也符合条件。与 php-src 分开分发的扩展（例如通过 PECL 分发）不符合条件。 任一来源给出的符合要求的评分即已足够，无论另一来源或另一个 CVSS 版本给出的评分是否较低。只有由 NVD 本身发布（归因于 NIST）或由 PHP 项目发布的评分才会计入；NVD 显示但归因于任何其他组织的评分不符合条件。一旦在市场期间满足所有要求，之后对评分的修订不会影响结算。 CVE-2026-109618 和 CVE-2026-109619（“PHP2Shell”）不符合条件。以 PHP 编写或在 PHP 上运行的第三方软件中的漏洞（例如 WordPress、Laravel、Drupal、插件或其他框架和库）不符合条件。 本市场的主要结算依据为 PHP 项目的官方信息（包括 php.net 和 GitHub 上的 php-src 安全公告）以及 NVD（https://nvd.nist.gov）；不过，也可以采用可信报道形成的共识。
机器翻译。如有争议，以原文为准。