近日，PHP釋出了最新的安全更新，修補了由DEVCORE研究團隊發現的嚴重遠端程式碼執行（RCE）漏洞CVE-2024-4577。此漏洞主要存在於PHP CGI參數，攻擊者可藉由特定字元序列繞過防護措施，在未經身分驗證的情況下遠端執行任意程式碼。
二、影響範圍
該漏洞影響極為廣泛，特別是安裝Windows作業系統的繁體中文、簡體中文及日文語系的所有PHP版本。全球有近八成網站採用PHP，因此這項漏洞的潛在影響比想像中的還要嚴重
三、建議措施
- 立即更新PHP版本
- 使用者應儘速將PHP更新至最新的版本8.3.8、8.2.20、8.1.29，以降低資安風險。
- 非上述三語系的使用者也需全面檢查網站程式語言並更新PHP至最新版本。
- XAMPP for Windows使用者
- 目前XAMPP尚未釋出針對此漏洞的更新。使用者若想了解更多資訊可以參考以下網站：
- 暫時性緩解措施
- 對無法立即更新PHP的使用者，建議參考上述網站以獲得相關緩解措施。
四、結論
此次漏洞顯示出網站安全防護的必要性及及時更新系統的重要性。所有使用PHP的網站管理員應高度重視此漏洞，迅速採取相應的安全措施，確保系統及數據的安全性。DEVCORE團隊的發現再次強調對安全漏洞的前瞻性研究和責任揭露的重要性。近期已有非常多網站因未即時修補漏洞，已遭受或正在面臨勒索病毒攻擊，損失慘重。網站管理員必須加強注意資安問題，確保網站及用戶數據的安全。