工信部风险提示PHP超危漏洞，腾讯云、阿里云已发布公告

10月22日，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）发布风险提示称，近日监测发现，用于Web开发的开源服务器端脚本语言PHP存在两个远程代码执行超危漏洞，危害严重。

PHP是一款广泛用于Web开发的开源服务器端脚本语言。它在服务器上运行，用于生成网页内容、与数据库交互，也被大量集成到其他产品中。此次安全问题涉及两个漏洞，攻击者可能通过触发内存耗尽状态，造成内存损坏，并在特定条件下利用漏洞远程执行代码。 

据悉，其存在的两个超危远程代码执行漏洞，未经身份验证的攻击者可利用其远程执行任意代码，造成服务器受控、敏感信息泄露、业务中断等危害。受影响的PHP范围包括：8.5系列＜8.5.12、8.4系列＜8.4.27、8.3系列＜8.3.36、8.2系列＜8.2.35、8.1系列及更早版本。

工信部风险提示中还提到，目前，PHP安全团队已修复漏洞并发布安全公告。建议相关单位和用户立即开展全面排查，及时升级至最新安全版本，或采取临时下线、关闭会话上传进度功能、网络隔离、网络访问限制等临时防护措施；加强网络安全监测和管理，及时修改账号、口令和密钥等凭证，防范网络攻击风险。

对于这一安全漏洞，国内，腾讯云、阿里云等云服务厂商已发布漏洞通告，提醒相关用户尽快排查业务中PHP的使用情况，若在影响范围内，应第一时间完成更新或采取缓解措施。

采写：南都N视频记者 林文琪

编辑：易福红