全球多個網站因 PHP2Shell 嚴重漏洞緊急更新之際，早前在 Hacker News 公開漏洞消息的用戶 petecooper 發文道歉。他承認帖文影響了原定的協調披露安排，增加開發團隊工作量，但強調自己當時不知道漏洞消息仍處於保密期，也無意令事件失控。
提前披露兩項漏洞編號 發帖者稱只想提醒網站管理員
petecooper 於 10 月 20 日在 Hacker News 發帖，聲稱從可靠消息人士得知，PHP 將公布兩項可遠端執行程式碼的漏洞，並列出 CVE-2026-109618 及 CVE-2026-109619。他當時表示沒有其他證據，提醒在正式環境使用 PHP 的人士準備優先更新，帖文亦聲稱漏洞的 CVSS 評分達 10.0。
在其後的道歉帖文中，petecooper 表示，消息提供者曾告訴他沒有保密限制，而提供者的消息來源亦作出相同說法。他平日依循 PHP 約每 4 星期的更新周期自行編譯程式，原意是提醒同樣需要自行更新的人及早準備。他承認發帖前沒有掌握所有事實，並為事件帶來的額外工作量道歉，表示願意為自己的發帖決定負責。
有 Hacker News 用戶認為，petecooper 沒有加入保密安排，也未獲通知相關限制，不應獨自承擔事件責任。他其後澄清，自己承擔的是在未掌握事實下公開帖文的責任。他亦透露，看到部分媒體將帖文形容為打亂漏洞發布安排的導火線，令他連日睡得不好。
PHP 官方披露多重資料外洩 原定修補日期提前一日
PHP 基金會公布的時間線顯示，兩項漏洞編號於 10 月 20 日開始在論壇及社交平台流傳，但最初流出的發布時間及 CVSS 10.0 評分均不正確，當時亦未有公開技術細節。官方確認兩項漏洞的 CVSS v4.0 評分均為 9.2，並將原定 10 月 22 日的修補程式發布時間提前至 10 月 21 日，以縮短網站暴露於風險之中的時間，同時讓軟件發行商完成封裝更新。
事情其後進一步惡化。參與研究的網絡保安公司 Calif 誤將漏洞概念驗證影片公開，刪除後仍有副本流傳。10 月 21 日，軟件供應商 Chainguard 又在協調發布時間之前推出包含修補程式的映像檔。PHP 基金會批評，這令其他人可從修補內容反推漏洞，而一般用戶當時仍未取得正式更新。
不過，現有資料不足以將整場資安風波或後續攻擊全部歸咎於 petecooper。Amazon 威脅情報團隊稱，早在 10 月 17 日已於 MadPot 蜜罐系統發現疑似針對 PHP2Shell 的攻擊嘗試，比 Hacker News 爆料更早；當局尚未確定攻擊者如何事先得知漏洞資料，亦未能判斷相關攻擊能否成功入侵真實網站。
PHP 已推出緊急更新 舊版本管理員須另查供應商安排
PHP 於香港時間 10 月 21 日晚上推出 8.5.12、8.4.27、8.3.36 及 8.2.35，修補兩項可能讓未登入攻擊者在特定條件下遠端執行程式碼的漏洞。官方指出，PHP-FPM、Apache mod_php 等對外提供網頁服務的部署均需留意，而 mod_php 的風險尤其高。
PHP 8.1 或更舊分支已不再獲 PHP 項目常規安全更新，使用相關版本的網站須向 Linux 發行商或長期支援供應商確認是否有移植修補程式，或安排升級。PHP 官方強調，修改設定只可減低部分攻擊風險，完整修補仍須套用安全更新。
資料來源：Hacker News 道歉帖、原始爆料帖、PHP 基金會、PHP 官方公告、Amazon 威脅情報
