结论：目前没有任何公开、可信的时间线能确认 PHP2Shell 的 POC 何时流出，不建议把未经证实的流出时间当作判断依据。

①先核实信息源：只认厂商安全公告、CVE 编号、GitHub 官方仓库提交记录这类一手来源，社区里“某天流出”的截图和转述往往被反复加工，时间点容易失真。

②看清漏洞状态：如果还处于厂商未修复阶段，公开细节的讨论应克制，优先关注补丁和缓解措施，而不是追流出时间。

③自查比追时间更实际：排查 PHP 版本、相关扩展是否启用、对外暴露的入口，及时升级并加访问控制。

④在站内求助问答区发帖时，附上版本号、报错信息和复现条件，比问“什么时候流出”更容易得到有效回复。