時間軸
從 2004 年的老毛病，一路到 2026 年 10 月的全球關站。有精確時刻的事件可以切換 UTC 或台灣時間（UTC+8）；來源只寫到年、月或日期的，就只寫到那裡，不幫它補時分。
Stefan Esser 發現第一個與記憶體上限相關的遠端漏洞
PHP 安全圈的 Stefan Esser 發現第一個與 memory limit 相關的遠端漏洞。他認為嚴重，沒有公開 exploit。來源只有年份。
bug #78876：過長變數造成記憶體耗盡
有人在 bug tracker 回報 bug #78876：過長變數造成記憶體耗盡，暫存檔沒清掉。當時未受重視。來源只有年份。
精華外部稽核看見跡象，修法停擺，後來稱為結構性失敗
多年來首次外部稽核：Sovereign Tech Agency 出資、OSTIF 組織、Quarkslab 執行。核心開發者在修另一個問題時看到記憶體耗盡問題的跡象，當時找不到具體路徑。幾種修法互相衝突（破壞相容、帶來阻斷服務風險，或要改大量擴充），共識決的小團隊停擺數月。基金會後來稱之為結構性失敗。來源只有年份。
與 Alpha-Omega 合作，用模型掃描 PHP
與 Alpha-Omega 合作，用 Anthropic Claude Mythos 掃描 PHP，之後以 OpenAI Daybreak Red 驗證回報。Trail of Bits 近期亦在稽核 PHP；基金會沒有把他們列為這兩個 CVE 的回報者。來源只寫今年稍早，沒有日期。
PHP 基金會成立 Ecosystem Security Team
基金會成立 Ecosystem Security Team。Volker Dusch 擔任 AI Security Engineer in Residence。決策後來改成可以多數決。來源只有月份。
自 7 月 1 日起已發布 15 個 CVE
至修補日，已發布 15 個 CVE，並處理逾 100 份無效、重複或無法重現的回報。The Next Web 作自 7 月起。
基金會：Calif 開始稽核
基金會說 Calif 開始稽核，PHP 被納入 OpenAI 資助的 Patch the Planet。這是「開始」的日期，和 8 月 1 日「找到」的說法還沒對成同一個里程碑。
另有說法把 Calif 找到路徑或開工寫在 8 月 1 日
Sansec 寫 Calif 找到多條遠端程式碼執行路徑。衛報轉述 Calif 稱 8 月 1 日在語言模型協助下發現。與 7 月 30 日開始稽核是不同說法，尚未對齊。
精華Calif 與 OpenAI 同日回報，Thai Duong 致電基金會
Calif 研究員 Ryan Austin 向 PHP 回報，與 2024 年那個記憶體耗盡問題同根。OpenAI 同日獨立回報同一根因。Calif 執行長 Thai Duong 致電 Volker Dusch。
Wiz 找到第一個漏洞
Wiz 用 Wiz Atlas、Gemini 4 Argon、GPT-5.6 Sol 找到第一個漏洞。這是獨立於 Calif 的發現。
Wiz 在 Drupal 上確認未授權遠端程式碼執行
Wiz 在 Drupal 上確認未授權的遠端程式碼執行。
Wiz 在 WordPress 上確認未授權遠端程式碼執行
Wiz 在 WordPress 上確認未授權的遠端程式碼執行。
Wiz 向 PHP 安全團隊回報
Wiz 向 PHP 安全團隊回報。Sansec 時間軸同日。
OpenAI 回報更多路徑
OpenAI 回報更多攻擊路徑。
精華PHP 確認 Wiz 的報告，開始協調修補
PHP 確認 Wiz 的報告，開始協調修補。原本約定先不公開細節，等修補一起公開。
精華Amazon MadPot 看到利用嘗試，比公開早四天
Amazon MadPot 蜜罐看到 PHP2Shell 利用嘗試，來源與商業匿名網路有關，比公開早四天。對方如何在禁運期間得知利用方式，AWS 表示不明。時分未公布。調查日誌 AWS 建議至少從這一天看。
精華CVE 編號在論壇與社群流傳
約 15:00 UTC（台灣 23:00），CVE 編號在論壇與社群流傳，附錯誤的發布時間與錯誤的 CVSS 10.0（官方為 9.2）。當時沒有技術細節。
Hacker News 出現貼文，隨後撤下
15:20 UTC（台灣 23:20），Hacker News 出現貼文，隨後撤下。貼文稱將於 10 月 22 日 18:00 CEST 公布，並稱 CVSS 10、影響 PHP 5 以上所有版本。貼文者自承未經證實。編號是真的，分數與時間不是官方說法。
精華PHP 發出預告，修補提前到 10 月 21 日 14:00 UTC
19:30 UTC（台灣 10 月 21 日 03:30），PHP 發出預告。釋出日從 10 月 22 日提前到 10 月 21 日 14:00 UTC（台灣 22:00）。預告本身沒有 CVE 編號，也沒有寫遠端程式碼執行。官方保留細節公開或出現在野利用就再提前的權利。發行商仍在打包，所以沒有立刻公開。原訂 10 月 22 日的鐘點有三種講法，都是計畫，不是已經發生的事。
watchTowr 發布 FAQ，確認兩個 CVE 是真的
19:35:22 UTC（台灣 10 月 21 日 03:35），watchTowr 發布 FAQ，向公開管道確認這兩個 CVE 是真的。預告裡沒寫的編號與影響，是外流貼文和這份 FAQ 補上的。
精華Calif 誤發一段 PoC 展示影片
約 20:00 UTC（台灣 10 月 21 日約 04:00），Calif 誤發一段 PoC 展示影片。刪除後副本仍在社群流傳，加速隔日的 PoC。Huntress 亦表示看過後來下架的影片。
給關鍵基礎設施的緩解建議可能外流
約 23:00 UTC 起（台灣 10 月 21 日約 07:00 起），提供給少數關鍵基礎設施業者的緩解建議，可能外流。
Amazon 看到多份 PoC
約 02:00 UTC（台灣約 10:00），Amazon 看到多份 PoC。
接下來六小時出現另一批利用嘗試
02:00 至 08:00 UTC（台灣 10:00 至 16:00），更多利用嘗試。內容與匿名基礎設施的選型和稍早不同，AWS 研判為多名行為者。能否在真實系統成功，當時仍不清楚。
Cloudflare WAF 規則對免費與付費客戶預設上線
03:02 UTC（台灣 11:02），Cloudflare WAF 規則對免費與付費客戶預設上線，約比公開早 9 小時。外洩之後已看到針對客戶的攻擊，以及試圖變造請求以避開規則的流量。有 WAF 仍須更新 PHP。
精華Chainguard 單方面打破禁運
07:41 UTC（台灣 15:41），Chainguard 在協調發布前六個多小時，單方面打破禁運，發布含修補的映像。基金會寫明，攻擊者因而能提前對照修補。
Sansec 時間軸：Cloudflare 回報早期攻擊
Sansec 把 Cloudflare 回報早期攻擊的時間記在 07:43 UTC（台灣 15:43）。這是 Sansec 所記的回報時間，不是 Cloudflare 規則上線時間（規則是 03:02 UTC）。
出處Sansec
精華修補發布：8.5.12、8.4.27、8.3.36、8.2.35
14:00 UTC（台灣 22:00），修補發布：PHP 8.5.12、8.4.27、8.3.36、8.2.35。官方安全公告與基金會說明同日公開。發布當下，安全團隊表示尚未發現可運作的公開 exploit。
研究團隊聯合官網公開
Wiz Research、OpenAI Codex Security、Calif 的聯合揭露頁 php2shell.com 於 10 月 21 日公開。頁面沒有發布鐘點。同日 Wiz 部落格（13:59:59 UTC，台灣 21:59）已連結此站，所以公開不晚於那個時刻，但不把部落格時間當成官網的發布鐘點。頁面上的示範影片不收。
Corelight 在協調揭露當天公開網路偵測
Corelight 寫道，Zeek 與 Suricata 偵測是在協調揭露之前就做好，並在揭露當天與修補一起公開，供修補優先順序使用。頁面只標 10 月 21 日，沒有鐘點。這不是另一個「公開早於 14:00 UTC」的時刻。規則內容不轉述。
精華修補公開後數小時，AWS 稱已被廣泛在野利用
14:00 UTC 之後數小時，AWS 稱又出現更多 PoC，感測器幾乎立刻被打到。AWS 稱其後已被廣泛在野利用。來源沒有更細的鐘點，此筆時刻沿用發布時刻並標為約略。
精華OpenAI 公開 php2shell-checker
16:35:11 UTC（台灣 10 月 22 日 00:35），OpenAI 官方 X 帳號公開 php2shell-checker：不確定網站是否受影響時，把 Codex 指向 GitHub 儲存庫來檢查。工具只比對回應標頭或本機 php -v 看得到的版號，結果為 OK、VULNERABLE 或 UNKNOWN；OK 沒有獨立驗證修補是否存在。GitHub API 記錄儲存庫建立於同日 00:29:12 UTC（台灣 08:29）。只能檢查自己有權限的系統，不能代替 PHP 官方修補。
watchTowr 全球蜜罐觀察到在野利用
watchTowr 全球蜜罐（Attacker Eye）於 10 月 21 日起觀察到在野利用。時分未公布。
Huntress 截至美東 16:30 仍未在客戶端看到利用
截至 10 月 21 日 16:30 美東（EDT，20:30 UTC；台灣 10 月 22 日 04:30），Huntress 在其客戶端尚未觀察到在野利用，同時寫明其他研究者已回報攻擊出現。蜜罐與客戶端是不同視角。
出處Huntress
精華多國政府與民間網站預防性下線或限制功能
10 月 21 日當天至 10 月 22 日，多國政府與民間網站預防性下線或限制功能。下線多半是預防，不表示已經被入侵。比利時 CCB 當時尚未記錄到針對比利時網站的攻擊。個別名單見關站資料。
數位發展部資通安全署通知各機關與企業
數位發展部資通安全署新聞稿（民國 115 年 10 月 22 日）。已透過資安警訊、N-ISAC、TWCERT/CC 通知各機關與企業。來源只有日期。