是，php 8.1.28 属于受影响版本（8.1
PHP 8.1.28 是受 CVE-2024-4577 影响的危险版本
直接说结论：
php-cgi.exe在 PHP 8.1.28（Windows + 中文/日文系统）下存在可被远程利用的命令行参数注入漏洞，**不能靠配置修补，必须升级或禁用 CGI 模式**。这个版本恰好落在官方划定的“8.1 ”受影响区间内，且漏洞利用门槛极低——只要 Apache 配置了 <code>Action或ScriptAlias暴露php-cgi.exe，攻击者用一个含%AD的 URL 就能绕过所有过滤执行任意代码。升级到 8.1.29 是唯一可靠修复方式
PHP 官方在 2024 年 6 月 6 日发布的
8.1.29版本中，通过两处关键修改堵住漏洞：
- 在
sapi/cgi/cgi_main.c的参数解析逻辑中，**显式拒绝所有0x80–0xFF范围内的字节**（包括%AD对应的0xAD），不再依赖 Windows 的 Best-Fit 转换后判断- 强化对命令行参数中连字符
-的校验，防止其被%AD“转换”后冒充合法选项前缀注意：不要尝试用
php.ini关闭allow_url_include或设cgi.force_redirect=1来“缓解”——CVE-2024-4577 的本质是让 PHP 进程在启动阶段就误解析参数，这些运行时配置根本没机会生效。若暂时无法升级，必须彻底禁用 php-cgi.exe 的 Web 可访问性
临时规避不是改配置，而是从服务器层面切断攻击入口：
- 检查 Apache 的
httpd.conf和所有.htaccess文件，删除所有含Action cgi-script、SetHandler application/x-httpd-php-cgi或ScriptAlias /php-cgi/的行- 确认
php-cgi.exe文件**不在任何被ScriptAlias或Alias映射的 Web 可访问路径下**（例如C:/xampp/cgi-bin/或C:/xampp/php/）- 如果使用 XAMPP，默认安装会把
php-cgi.exe放在C:/xampp/php/并通过ScriptAlias /php-cgi/ "C:/xampp/php/"暴露——这必须删掉，且建议将该目录权限设为仅SYSTEM和管理员可读仅停用
mod_php或改用php-fpm不够——只要php-cgi.exe还能被 HTTP 请求直接调用，漏洞就依然有效。别忽略 Windows 系统区域设置这个隐藏触发点
这个漏洞不会在英文版 Windows 上触发，但很多人忽略了自己系统的实际代码页：
- 运行
chcp命令，输出Active code page: 936（简体中文）、950（繁体中文）或932（日文）即为高危环境- 即使你装的是英文版 Windows，只要控制面板 → 区域 → 管理 → 更改系统区域设置里选了“中文（简体，中国）”，代码页仍是 936
- Apache 或 PHP 自身无法检测或规避 Best-Fit 转换，所以**不能寄希望于“我只用 UTF-8 就安全”——HTTP 请求经过 Windows 内核层时已发生转换**
最常被漏掉的一点：升级 PHP 后，务必重启 Apache 服务（不是重载配置），否则旧进程仍在内存中运行，
php-cgi.exe的漏洞代码依然活跃。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
