ITCOW牛新网 6月8日消息，PHP项目维护团队昨日紧急发布新补丁，以修复存在于PHP for Windows中的一个远程代码执行（RCE）漏洞。该团队强烈敦促所有用户立即更新至最新版本，即6月6日发布的8.3.8、8.2.20以及8.1.29版本。
该漏洞被追踪编号为CVE-2024-4577，自PHP的5.x版本以来一直存在，可能对全球范围内的大量服务器造成影响。Devcore的首席安全研究员Orange Tsai在2024年5月7日发现了这个新的RCE漏洞，并及时报告给了PHP开发团队。
Shadowserver基金会也发出警告，表示已经监测到有多个IP正在针对他们的蜜罐传感器测试PHP/PHP-CGI的CVE-2024-4577漏洞。该基金会提醒，此漏洞影响在Windows上运行的PHP，且相关的补丁已于6月6日发布，利用代码（PoC）已公开。
该漏洞在处理字符编码转换时由于疏忽而产生，特别是在Windows上以CGI模式运行PHP时，如果使用“Best-Fit”功能，服务器环境将更容易受到攻击。DevCore的咨询指出，在Windows操作系统中，PHP团队未能充分注意编码转换的Best-Fit功能，未经认证的攻击者可以利用该漏洞，通过特定的字符序列绕过CVE-2012-1823的先前保护，进行参数注入攻击，从而在远程PHP服务器上执行任意代码。
分析人员还指出，即使PHP没有配置为CGI模式，只要PHP的可执行文件（例如php.exe或php-cgi.exe）位于网络服务器可访问的目录中，CVE-2024-4577漏洞也有可能被利用。