怎么处理PHP8.2.35的路径穿越漏洞-php教程-PHP中文网

php 8.2.35 不修复路径穿越漏洞，该漏洞源于业务代码未校验用户输入路径；正确防护需三步：realpath() 规范化、限定基目录、严格前缀比对。

怎么处理php8.2.35的路径穿越漏洞

PHP 8.2.35 本身不包含路径穿越漏洞，它修复的是两个 RCE 漏洞（CVE-2026-109618 和 CVE-2026-109619），与路径遍历无关。如果你在升级到 8.2.35 后仍被报告存在路径穿越问题，那漏洞一定出在你的业务代码里，不是 PHP 版本能解决的。

为什么升级 PHP 8.2.35 不能防路径穿越

路径穿越（Directory Traversal）是典型的应用层逻辑缺陷，根源在于开发者拼接用户输入和文件路径时缺少校验。PHP 运行时不会替你做 realpath()、不会拦截 ../、也不会强制限定基目录——这些都得你写代码来保证。

官方补丁只修复了底层内存管理、session 状态清理等运行时机制问题，对 readfile($_GET['filename']) 这类写法完全无感。

PHP 8.2.35 的修复目标是防止 OOM 触发的 RCE，不是过滤用户传参
所有 PHP 版本（包括 8.5.12）都允许 ../ 在字符串里自由存在
Web 服务器（如 Apache/Nginx）默认也不拦截含 .. 的请求路径，除非你显式配置

真实有效的路径穿越修复写法（PHP）

别依赖版本号，直接改代码。核心就两条：路径规范化 + 基目录白名单校验。

错误示范：$file_path = '/var/www/uploads/' . $_GET['filename'];

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

正确做法（三步不可少）：

用 realpath() 展开所有 ../ 和符号链接，得到绝对路径
用 dirname() 或硬编码确认基目录（如 /var/www/uploads）
检查展开后的路径是否以基目录开头，且不能超出（str_starts_with($real_path, $base_dir) && $real_path === $base_dir || str_starts_with($real_path, $base_dir . '/')）

简短示例：

$base_dir = '/var/www/uploads';
$filename = $_GET['filename'] ?? '';
$real_path = realpath($base_dir . '/' . $filename);
if ($real_path === false || !str_starts_with($real_path, $base_dir)) {
    http_response_code(403);
    exit('Invalid file path');
}
readfile($real_path);