当前位置：网站首页 > 编程文章 > 正文

PHP紧急更新修复漏洞:自5.x以来所有版本均受影响

qiyuwang 2025-03-11 20:56 12 浏览 0 评论

IT之家 6 月 8 日消息，PHP 项目维护团队昨日发布新补丁，修复了存在于 PHP for Windows 中的远程代码执行（RCE）漏洞，并敦促用户尽快更新至 6 月 6 日发布的 8.3.8、8.2.20 以及 8.1.29 版本。

PHP 是一种广泛使用的开放源码脚本语言，设计用于网络开发，通常在 Windows 和 Linux 服务器上使用。

Devcore 首席安全研究员 Orange Tsai 于 2024 年 5 月 7 日发现了这个新的 RCE 漏洞，并将其报告给了 PHP 开发人员。

IT之家注：该漏洞追踪编号为 CVE-2024-4577，影响到自 5.x 版以来的所有版本，可能对全球大量服务器造成影响。

此外 Shadowserver 基金会发布公告，表示已经检测到有黑客正扫描存在该漏洞的服务器。

ITCVE-2024-4577 漏洞是由于处理字符编码转换时的疏忽造成的，在 Windows 上以 CGI 模式使用 PHP，尤其是使用 “Best-Fit”功能的服务器环境，比较容易遭到黑客攻击。

DevCore 的咨询解释说：

在实施 PHP 时，团队没有注意到在 Windows 操作系统内进行编码转换的 Best-Fit 功能。
未经认证的攻击者利用该漏洞，通过特定字符序列绕过 CVE-2012-1823 先前的保护。通过参数注入攻击，可在远程 PHP 服务器上执行任意代码。

分析人员解释说，即使 PHP 未配置为 CGI 模式，只要 PHP 可执行文件（如 php.exe 或 php-cgi.exe）位于网络服务器可访问的目录中，CVE-2024-4577 仍有可能被利用。

php刷新当前页面

相关推荐

# 安装打开 ubuntu-22.04.3-LTS 报错解决方案: #安装打开ubuntu-22.04.3-LTS报错解决方案WslRegisterDistributionfailedwitherror:0x800701bcError:0x80070...

利用阿里云镜像在ubuntu上安装Docker: 简介：...

如何将Ubuntu Kylin(优麒麟)19.10系统升级到20.04版本: UbuntuKylin系统使用一段时间后，有新的版本发布，如何将现有的UbuntuKylin系统升级到最新版本？可以通过下面的方法进行升级。1.先查看相关的UbuntuKylin系统版本情况。使...

Ubuntu 16.10内部代号确认为Yakkety Yak: 在正式宣布Ubuntu16.04LTS(XenialXerus)的当天，Canonical创始人MarkShuttleworth还非常开心的在个人微博上宣布Ubuntu下个版本16.10的内...

如何在win11的wsl上装ubuntu（怎么在windows上安装ubuntu）: 在Windows11的WSL（WindowsSubsystemforLinux）上安装Ubuntu非常简单。以下是详细的步骤：---...

Win11学院:如何在Windows 11上使用WSL安装Ubuntu: IT之家2月18日消息，科技媒体pureinfotech昨日（2月17日）发布博文，介绍了3中简便的方法，让你轻松在Windows11系统中，使用WindowsSubs...

如何查看Linux的IP地址（如何查看Linux的ip地址）: 本头条号每天坚持更新原创干货技术文章，欢迎关注本头条号"Linux学习教程"，公众号名称“Linux入门学习教程"。...

怎么看电脑系统?（怎么看电脑系统配置）: 要查看电脑的操作系统信息，可以按照以下步骤操作，根据不同的操作系统选择对应的方法：一、Windows系统通过系统属性查看右键点击桌面上的“此电脑”（或“我的电脑”）图标，选择“属性”。在打开的...

如何查询 Linux 内核版本?这些命令一定要会!: Linux内核是操作系统的核心，负责管理硬件资源、调度进程、处理系统调用等关键任务。不同的内核版本可能支持不同的硬件特性、提供新的功能，或者修复了已知的安全漏洞。以下是查询内核版本的几个常见场景：...

深度剖析:Linux下查看系统版本与CPU架构: 在Linux系统管理、维护以及软件部署的过程中，精准掌握系统版本和CPU架构是极为关键的基础操作。这些信息不仅有助于我们深入了解系统特性、判断软件兼容性，还能为后续的软件安装、性能优化提供重要依据。接...

504 错误代码解析与应对策略（504错误咋解决）: 在互联网的使用过程中，用户偶尔会遭遇各种错误提示，其中504错误代码是较为常见的一种。504错误并非意味着网站被屏蔽，它实际上是指服务器在规定时间内未能从上游服务器获取响应，专业术语称为“Ga...

猎聘APP和官网崩了?回应:正对部分职位整改，临时域名可登录: 10月12日，有网友反映猎聘网无法打开，猎聘APP无法登录。截至10月14日，仍有网友不断向猎聘官方微博下反映该情况，而猎聘官方微博未发布相关情况说明，只是在微博内对反映该情况的用户进行回复，“抱歉，...

域名解析的原理是什么?域名解析的流程是怎样的?: 域名解析是网站正常运行的关键因素，因此网站管理者了解域名解析的原理和流程对于做好域名管理、解决常见解析问题，保障网站的正常运转十分必要。那么域名解析的原理是什么？域名解析的流程是怎样的？接下来，中科三...

Linux无法解析域名的解决办法（linux 不能解析域名）: 如果由于误操作，删除了系统原有的dhcp相关设置就无法正常解析域名。　　此时，需要手动修改配置文件：　　/etc/resolv.conf　　将域名解析服务器手动添加到配置文件中　　该文件是DNS域名解...

域名劫持是什么?（域名劫持是什么）: 域名劫持是互联网攻击的一种方式，通过攻击域名解析服务器（DNS），或伪造域名解析服务器（DNS）的方法，把目标网站域名解析到错误的地址从而实现用户无法访问目标网站的目的。说的直白些，域名劫持，就是把互...

取消回复欢迎你发表评论:

一周热门

最近发表

首页
收录
顶部