近日，國家信息安全漏洞庫（CNNVD）收到多個關于“PHP7”漏洞情況的報送。其中編號為CNNVD-201612-760和CNNVD-201612-761的兩個漏洞影響PHP7版本，利用難度較大；編號為CNNVD-201612-759的漏洞同時影響PHP7版本和PHP5版本，利用難度較小。
目前多個主流內容管理平臺基于PHP5開發，因此漏洞影響范圍較廣，國家信息安全漏洞庫（CNNVD）對上述漏洞進行了跟蹤分析，情況如下：
一、漏洞簡介
PHP（PHP：Hypertext Preprocessor，PHP：超文本預處理器）是PHP Group和開放源代碼社區共同維護的一種開源的通用計算機腳本語言。該語言支持多重語法、支持多數據庫及操作系統和支持C、C++進行程序擴展等。
PHP 5.6.26版本和7.0至7.0.13版本中存在遠程拒絕服務漏洞（CNNVD-201612-759，CVE-2016-7478）。攻擊者可利用該漏洞造成拒絕服務。
PHP 7.0至7.0.13版本中存在拒絕服務漏洞（CNNVD-201612-760，CVE-2016-7479）。攻擊者可利用該漏洞造成拒絕服務（無限循環）。
PHP 7.0.12之前的版本中存在遠程代碼執行漏洞（CNNVD-201612-761，CVE-2016-7480）。遠程攻擊者可利用SplObjectStorage對象的反序列化函數使用未初始化變量，導致修改內存數據，執行任意代碼。
二、漏洞危害
攻擊者可以利用上述漏洞遠程控制服務器，或者導致網站癱瘓。此外，目前多個主流內容管理平臺基于PHP5開發，攻擊者可利用上述漏洞機制對PHP5的主流平臺進行攻擊，如Magento、vBulletin、Drupal和Joomla!。
三、修復措施
PHP官方已提供最新版本的PHP7，新版本中不存在上述漏洞，PHP7最新版本下載鏈接如下：
http://php.net/downloads.php#php-7.1
針對上述編號為CNNVD-201612-759和CNNVD-201612-761的漏洞，Github已提供了修復措施，不方便升級至最新版PHP7的用戶可參考如下鏈接：
https://github.com/php/php-src/commit/bcd64a9bdd8afcf7f91a12e700d12d12eedc136b
本通報由CNNVD技術支撐單位——北京神州綠盟信息安全科技股份有限公司、安天實驗室提供支持。
CNNVD將繼續跟蹤上述漏洞的相關情況，及時發布相關信息。如有需要，可與CNNVD聯系。
京公網安備 11010502049343號