Python php 微软 linux centos 开源 linux命令 java Firefox Windows Android google nginx 程序员 HTML5 mysql Ubuntu shell apache wordpress

PHP 安全更新被指无效,官方推出新解决方案

上周三,一个 PHP 远程代码执行漏洞被意外公开,引起了很多用户的恐慌。此漏洞使许多基于 php 开发的网站存在被入侵的风险。

据CERT(计算机安全应急响应组织)介绍,当 PHP 以 CGI 模式运行时 (如 Apache 的 mod_cgid模块),php-cgi 会接受处理一个查询字符串作为命令行参数以开启某些功能(例如,将 –s、-d 或 -c 传递给 php-cgi)。此漏洞可以允许攻击者查看网站源代码,或未经许可执行任意代码等。

虽然 PHP 官方及时针对该漏洞发布了PHP 5.3.12 和 5.4.2这两个更新版本,但安全网站 Eindbazen 表示,此次安全更新并未能真正修复该漏洞。Eindbazen 在团队博客中写道:

在最新发布的PHP 5.3.12 和 5.4.2版本中存在一个Bug,使得攻击者可以绕过该修补程序。

此观点得到了 PHP 官方的认可。近日,PHP 官方网站给出了一套新的解决方案。同时,还表示将于本月8号再次放出安全更新,并承诺新版本会真正解决 CGI 漏洞和其它相关的一些漏洞所带来的问题。

延伸阅读

评论