PHP 8.2.19 php-cgi 漏洞有无未授权访问风险-php教程-PHP中文网

php 8.2.19存在双重高危rce风险：cve-2024-4577（windows下%ad绕过cgi参数过滤）和cve-2026-109619（残留全局状态导致uaf型rce），均未修复且无法靠配置完全缓解，必须升级至8.2.20或更高版本。

php 8.2.19 php-cgi 漏洞有无未授权访问风险

php-cgi 在 PHP 8.2.19 中存在明确的未授权访问风险，主要来自 CVE-2024-4577（Windows 平台）和 CVE-2026-109619（通用部署）两类漏洞叠加影响。该版本既不在官方修复列表中，又处于高危窗口期。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

PHP 8.2.19 属于 PHP 8.2 范围，明确受影响。
漏洞触发不依赖 Web 应用代码，只要 Apache / Nginx 配置了 ScriptAlias /php-cgi/ 或类似 CGI 映射，且系统区域设置为简体中文（CP936）、繁体中文（CP950）或日文（CP932），攻击者就能用 %ad 编码绕过 - 过滤，向 php-cgi.exe 注入命令行参数。
常见错误现象：
- 访问 @#@#@#@#@#@#@#@#@#@0 时返回 PHP 解析结果而非 403/404
- 日志中出现大量含 %ad、%00、-d 的 GET 请求
实操建议：
- 立即检查是否启用 CGI 模式：php -i | grep "Server API" 输出为 CGI/FastCGI 即中招
- Windows 用户若用 XAMPP/WAMP，默认开启 ScriptAlias /php-cgi/，必须注释掉对应行并重启 Apache
- 不可仅靠 WAF 规则拦截，%ad 在 URL 解码前就已进入 CGI 参数解析流程，Apache mod_rewrite 必须在最外层生效

PHP 8.2.19 属于 8.2.0 ，同样未修复该漏洞。
该漏洞不要求攻击者登录，只要两个请求打到同一个 CGI 进程（常见于短连接、低并发 CGI 池），第二个请求就能读取第一个请求残留的 $_SESSION、upload_progress 或扩展内部指针，造成 UAF。
关键触发点：
- 启用了 session.upload_progress.enabled = On（默认开启）
- 使用 multipart/form-data 提交含 PHPSESSID 和 UPLOAD_PROGRESS 字段的请求
实操建议：
- 临时禁用上传进度：session.upload_progress.enabled = Off，并重启服务
- 若业务强依赖该功能，需配合 session.upload_progress.cleanup = On + session.upload_progress.prefix 加密前缀，但不能根除风险
- CGI 模式下无进程复用机制，但 Windows 上 php-cgi.exe 默认以“每个请求新建进程”方式运行，反而更易被爆破式请求塞满进程池，加剧 OOM 类型的连锁利用（如关联 CVE-2026-109618）

php-cgi 是 CGI 协议的直面接口，没有中间代理层，所有防护（WAF、Nginx rewrite、防火墙 ACL）都必须在它之前完成拦截 —— 但 CVE-2024-4577 的编码绕过发生在协议解析最底层，多数 WAF 规则无效。
disable_functions 对该漏洞完全无效：攻击者控制的是 php-cgi 进程启动参数，不是 PHP 脚本内函数调用。
即使关闭 upload_progress、禁用 allow_url_include，CVE-2026-109619 仍可通过其他扩展（如 mbstring、xmlrpc）残留状态触发。
PHP 8.2.19 已无安全补丁支持路径：官方只修复到 8.2.20，且 8.2 分支将在 2027 年 11 月终止维护，继续使用等于主动维持攻击面。

真正卡住风险的节点，从来不是某条配置开关，而是进程启动那一刻加载的那版 php-cgi.exe 二进制本身。