兩項重大漏洞可能讓未登入的攻擊者遠端執行程式碼
PHP 官方指出,提供網頁服務的 PHP 安裝環境都需要注意,範圍包含 PHP-FPM、Apache mod_php、php-cgi、FrankenPHP 與 LiteSpeed。
RCE via OOM corruption
PHP 處理記憶體耗盡錯誤時,可能留下未正確初始化的資料,進而造成遠端程式碼執行。
GHSA-w8hw-w9fx-j79w ↗RCE via stale global state
前一個請求使用的資料在記憶體釋放後仍被保留,後續請求可能誤用該資料,進而造成遠端程式碼執行。
GHSA-6wmf-4rv5-p3rp ↗官方列出的受影響範圍:PHP 8.2.35 之前的 8.2、8.3.36 之前的 8.3、8.4.27 之前的 8.4,以及 8.5.12 之前的 8.5。
官方修補版本:PHP 8.2.35、8.3.36、8.4.27、8.5.12。PHP 8.1 及更舊版本已停止官方支援;PHP 官方雖針對本次漏洞提供 7.4、8.0、8.1 的最小原始碼回補,但不代表這些版本重新取得官方支援。
PHP 官方說明,臨時降低暴露的設定不能完整排除風險,更新才是完整處理方式。
查看 PHP 官方安全公告