烽火狼煙丨PHP遠端程式碼執行漏洞（CVE-2022-31625、CVE-2022-31626）風險提示

1、漏洞概述

近日，WebRAY安全服務產品線監測到PHP 官方釋出了關於PHP存在遠端程式碼執行漏洞的漏洞通告，漏洞編號分別為：CVE-2022-31625、CVE-2022-31626。其中CVE-2022-31625是由於PHP_FUNCTION中分配在堆上的陣列清除不及時，導致錯誤的再次呼叫php_pgsql_free_params()函式時，可能會使用之前未及時清除的陣列值，從而造成遠端程式碼執行；CVE-2022-31626則是由於PHP的mysqlnd擴充中存在堆緩衝區溢位漏洞，擁有php資料庫的連線許可權並建立惡意MySQL伺服器的攻擊者，透過誘導主機以mysqlnd主動連線該伺服器從而觸發緩衝區溢位漏洞，最終實現遠端程式碼執行，像是Adminer、 PHPmyAdmin這類基於php的資料庫管理軟體均可能受該漏洞影響。由於漏洞危害較大，WebRAY安全服務產品線建議相關使用者做好防護並及時做好版本升級工作。

PHP是一個擁有眾多開發者的開源軟體專案，也是一種在伺服器端執行的指令碼語言，尤其適用於Web開發並可嵌入HTML中。PHP同時支援物件導向和麵向過程的開發，使用上非常靈活。

WebRAY安全服務產品線也將持續關注該漏洞進展，並及時為您更新該漏洞資訊。

2、影響範圍

3、漏洞等級

WebRAY安全服務產品線風險評級：高危

4、修復建議

官方已釋出安全版本，請及時下載更新。

https://www.php.net/downloads.php