PHP8.3.36如何修复json解析异常漏洞-php教程-PHP中文网

php 8.3.36修复的是cve-2026-109618和cve-2026-109619两个远程代码执行漏洞，而非json解析异常；json_decode返回null是正常设计行为，非漏洞。

php8.3.36如何修复json解析异常漏洞

PHP 8.3.36 **不修复 JSON 解析异常漏洞**——它修复的是两个远程代码执行（RCE）漏洞（CVE-2026-109618 / CVE-2026-109619），与 json_decode() 的解析逻辑、语法错误或返回 null 无关。

json_decode() 返回 null 不是漏洞，是设计行为

json_decode() 在 PHP 所有版本（包括 8.3.36）中，解析失败时默认返回 null，这是明确的 API 行为，不是缺陷。所谓“JSON 解析异常漏洞”在官方安全公告和补丁说明中并不存在。你遇到的 null，99% 是输入问题，不是安全漏洞。

常见诱因包括：

API 返回了 HTML 错误页（如 502、404），却被当 JSON 解析
字符串含 UTF-8 BOM（\xEF\xBB\xBF）或控制字符（\x00、\t、\r）
JSON 被截断（cURL 超时、Nginx proxy_buffer_size 太小、MySQL TEXT 字段长度不足）
嵌套过深，默认深度 512 层不够用，触发 JSON_ERROR_DEPTH

必须立刻检查 json_last_error()，不能只判 null

每次调用 json_decode() 后，下一行就得查错误码：

$data = json_decode($json, true);
if ($data === null && json_last_error() !== JSON_ERROR_NONE) {
    // 真正的错误在这里
    $msg = json_last_error_msg(); // 如 "Syntax error" 或 "Unexpected control character"
}

注意：json_last_error() 是全局状态，中间若调用了其他 JSON 函数（比如日志里写了 json_encode()），结果会被覆盖。

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

推荐开发环境强制启用异常模式：

try {
    $data = json_decode($json, true, 512, JSON_THROW_ON_ERROR);
} catch (JsonException $e) {
    error_log('JSON parse failed: ' . $e->getMessage());
}