Он нарушил эмбарго на PHP RCE и говорит, что его источник сказал, будто эмбарго не было

Извинения и что в них утверждается

Пост в Tell HN касается CVE-2026-109618 и CVE-2026-109619 — двух уязвимостей PHP с удалённым выполнением кода, которые попали во вчерашний выпуск, когда их ID утекли за два дня до срока. Автор пишет, что опубликовал пост, не зная ни о каком эмбарго, и что его контакт сообщил ему, будто эмбарго нет, — так же, как и её собственный источник. Заявленная цель — предупредить тех, кто собирает PHP из исходников. Он говорит, что полностью берёт на себя ответственность и извлёк урок.

Что значит «полная ответственность»

Комментатор спросил, означает ли эта фраза отказ от активов. Автор ответил в треде:

«Я написал то, что — если посмотреть назад — писать не должен был, и это имело последствия для многих людей» — автор исходного поста

Другие прочли эту фразу как юридический риск. Один комментатор предупредил, что признание может быть использовано против него в гражданском деле в США.

Кто на самом деле нарушил

Главный спор — где именно произошёл сбой.

«Если ты получил информацию об RCE без информации об эмбарго, то эмбарго ты не нарушил. Это сделал кто-то другой выше по цепочке» — комментатор, защищающий автора

Второй комментатор ответил, что нормы ответственного раскрытия всё равно действуют: в самом посте написано «надёжный источник сообщил, что анонс запланирован», а информация о безопасности считается конфиденциальной. Третий перенёс вес на саму цепочку:

«И я бы возложил гораздо больше ответственности на тех, кто стоит выше в этой цепочке контактов» — комментатор, который хочет вопросов к тем, кто выше

Самый резкий голос ему не поверил: тот, кто искал CVE, не нашёл её, но всё равно опубликовал, значит, понимал серьёзность и недоумевал, почему никто больше об этом не говорит. Тред не может решить этот спор: рассказ автора — единственная запись того, что говорили его контакты.