遠端 Debian 12 主機上安裝的多個套件受到 dla-4732 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4732-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 8 月 11 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：php8.2 版本：8.2.33-1~deb12u1 CVE ID：CVE-2026-7260 CVE-2026-17543 Debian 錯誤 : 1143153

    在 PHP (一種廣泛使用的開放原始碼一般用途指令碼語言) 中發現安全性問題，可導致拒絕服務或 SQL 插入攻擊。

    CVE-2026-7260

        Phar 封存中的符號連結在追蹤時沒有任何深度限制，亦無循環偵測。精心設計且包含循環符號連結的 tar 架構 phar 歸檔，因此可能會引發無窮遞迴，進而耗盡 C 堆疊並導致 PHP 程序當機。

    CVE-2026-17543

        攻擊者提供的參數中反斜線的不當逸出允許透過 E'' 反斜線突破進行簡單的 SQL 插入攻擊。

    針對 Debian 12 bookworm，已在 8.2.33-1~deb12u1 版本中修正這些問題。

    我們建議您升級 php8.2 套件。

    如需有關 php8.2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/php8.2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2026:61259 公告中提及的多個弱點影響。

    PHP 是一種內嵌 HTML 的指令碼語言，通常用於 Apache HTTP Server。

    安全性修正：

    * php： ext/openssl：使用 AES-WRAP-PAD 的 openssl_encrypt 記憶體損毀 （）CVE-2026-14355

    * php: ext-pgsql: PHP：因不當的反斜線逸出導致的 SQL 插入攻擊 (CVE-2026-17543)

    * php: PHP：透過 phar 封存檔中的循環符號連結導致拒絕服務 (CVE-2026-7260)

    錯誤修正和增強功能：

    * 在 9.8.z 中反向移植到 PHP 8.0 （CVE-2026-14355JIRA：RHEL-192624）

    * 9.8.z 中 PHP 8.0 的CVE-2026-17543CVE-2026-7260反向移植修正 （JIRA：RHEL-223940）

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2026:57574 公告中提及的多個弱點影響。

    PHP 是一種內嵌 HTML 的指令碼語言，通常用於 Apache HTTP Server。

    安全性修正：

    * php: ext-pgsql: PHP：因不當的反斜線逸出導致的 SQL 插入攻擊 (CVE-2026-17543)

    * php: PHP：透過 phar 封存檔中的循環符號連結導致拒絕服務 (CVE-2026-7260)

    錯誤修正和增強功能：

    * 在 8.10.z 中針對 CVE-2026-17543 與 CVE-2026-7260 將 PHP 重定基底至 8.2.33 (JIRA:RHEL-223938)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 AlmaLinux 9 主機中安裝的套件受到 ALSA-2026:57539 公告中提及的多個弱點影響。

    * php: ext-pgsql: PHP：因不當的反斜線逸出導致的 SQL 插入攻擊 (CVE-2026-17543)
      * php: PHP：透過 phar 封存檔中的循環符號連結導致拒絕服務 (CVE-2026-7260)


    錯誤修正和增強功能：

      * 在 9.8.z 中針對 CVE-2026-17543 與 CVE-2026-7260 將 PHP 重定基底至 8.3.33 (JIRA:AlmaLinux-223944)

Tenable 已直接從 AlmaLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它會受到 ALAS2023-2026-2041 公告中所提及的多個弱點影響。

    攻擊者提供的參數中的反斜線不當逸出允許在某些 PHP 版本中進行簡單 SQL 插入攻擊，受影響版本包括：8.2.33 之前的 8.2.*、8.3.33 之前的 8.3.*、8.4.24 之前的 8.4.* 和 8.5.9 之前的 8.5.*。(CVE-2026-17543)

    攻擊者向 bccomp() 提供的輸入可能會導致超出邊界寫入，從而導致某些 PHP 版本中出現堆疊和堆積損毀，受影響版本包括：8.4.24 之前的 8.4.* 和 8.5.9 之前的 8.5.*。(CVE-2026-17544)

    phar 封存中的循環符號連結可能會導致無限制遞迴，造成 C 堆疊耗盡和 PHP 處理程序當機，受影響 PHP 版本包括：8.2.33 之前的 8.2.*、8.3.33 之前的 8.3.*、8.4.24 之前的 8.4.* 和 8.5.9 之前的 8.5.*。(CVE-2026-7260)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 PHP 版本為 8.3.33 之前的版本。因此，會受到版本 8.3.33 公告中所提及的多個弱點影響。

  - 攻擊者提供的參數中的反斜線不當逸出允許在某些 PHP 版本中進行簡單 SQL 插入攻擊，受影響版本包括：8.2.33 之前的 8.2.*、8.3.33 之前的 8.3.*、8.4.24 之前的 8.4.* 和 8.5.9 之前的 8.5.*。(CVE-2026-17543)

  - phar 封存中的循環符號連結可能會導致無限制遞迴，造成 C 堆疊耗盡和 PHP 處理程序當機，受影響 PHP 版本包括：8.2.33 之前的 8.2.*、8.3.33 之前的 8.3.*、8.4.24 之前的 8.4.* 和 8.5.9 之前的 8.5.*。(CVE-2026-7260)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 9 主機已安裝的套件會受到 AXSA：2026-1748：01 公告中所述的多個弱點影響。

    * php: ext-pgsql: PHP：因不當的反斜線逸出導致的 SQL 插入攻擊 (CVE-2026-17543)
      * php: PHP：透過 phar 封存檔中的循環符號連結導致拒絕服務 (CVE-2026-7260)

Tenable 已直接從 MiracleLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 10 主機中安裝的套件受到 ELSA-2026-626140 公告中提及的多個弱點影響。

    [8.3.33-1]
    - 衍合至 8.3.33

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2026-623340 公告中提及的多個弱點影響。

    - 透過 E'...' 修正 SQL 插入反斜線突破 CVE-2026-17543
    - 修正 GHSA-vc5h-9ppw-p5f3 透過遞迴符號連結當機 CVE-2026-7260

    php-pear

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 8 主機已安裝的套件會受到 AXSA：2026-1772：01 公告中所述多個弱點的影響。

    * php: ext-pgsql: PHP：因不當的反斜線逸出導致的 SQL 插入攻擊 (CVE-2026-17543)
      * php: PHP：透過 phar 封存檔中的循環符號連結導致拒絕服務 (CVE-2026-7260)

Tenable 已直接從 MiracleLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 9 主機已安裝的套件會受到 CIQ crlsa-2026_61259 公告中提及的多個弱點影響。

    * php： ext/openssl：使用 AES-WRAP-PAD 的 openssl_encrypt 記憶體損毀 （）CVE-2026-14355

    * php: ext-pgsql: PHP：因不當的反斜線逸出導致的 SQL 插入攻擊 (CVE-2026-17543)

    * php: PHP：透過 phar 封存檔中的循環符號連結導致拒絕服務 (CVE-2026-7260)

    錯誤修正和增強功能：

    * 在 9.8.z 中反向移植到 PHP 8.0 的CVE-2026-14355修正 （JIRA：Rocky Linux-192624）

    * 在 9.8.z 中對 PHP 8.0 進行CVE-2026-17543CVE-2026-7260反向移植修正 （JIRA：Rocky Linux-223940）

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 8 主機已安裝的套件會受到 CIQ crlsa-2026_62334 公告中提及的多個弱點影響。

    * php: ext-pgsql: PHP：因不當的反斜線逸出導致的 SQL 插入攻擊 (CVE-2026-17543)

    * php: PHP：透過 phar 封存檔中的循環符號連結導致拒絕服務 (CVE-2026-7260)

    錯誤修正和增強功能：

    * 在 8.10.z 中對 PHP 7.4 進行CVE-2026-17543CVE-2026-7260反向移植修正 （JIRA：Rocky Linux-223936）

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 8 主機已安裝的套件會受到 CIQ crlsa-2026_57574 公告中提及的多個弱點影響。

    * php: ext-pgsql: PHP：因不當的反斜線逸出導致的 SQL 插入攻擊 (CVE-2026-17543)

    * php: PHP：透過 phar 封存檔中的循環符號連結導致拒絕服務 (CVE-2026-7260)

    錯誤修正和增強功能：

    * 在 8.10.z 中針對 CVE-2026-17543 與 CVE-2026-7260 將 PHP 重定基底至 8.2.33 (JIRA:Rocky Linux-223938)

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
334644	Debian dsa-4732：libapache2-mod-php8.2 - 安全性更新	Nessus	Debian Local Security Checks	2026/8/12	2026/8/14	critical
341720	RHEL 9：php (RHSA-2026:61259)	Nessus	Red Hat Local Security Checks	2026/8/31	2026/8/31	critical
338418	RHEL 8 : php:8.2 (RHSA-2026:57574)	Nessus	Red Hat Local Security Checks	2026/8/20	2026/8/20	critical
338761	AlmaLinux 9：php:8.3 (ALSA-2026:57539)	Nessus	Alma Linux Local Security Checks	2026/8/21	2026/8/21	critical
332004	Amazon Linux 2023：php8.5、php8.5-bcmath、php8.5-cli (ALAS2023-2026-2041)	Nessus	Amazon Linux Local Security Checks	2026/8/4	2026/8/12	critical
331280	PHP 8.3.x < 8.3.33 多個弱點 SQLI	Nessus	CGI abuses	2026/7/30	2026/8/10	critical
342677	MiracleLinux 9 ： php：8.2 （AXSA：2026-1748：01）	Nessus	Miracle Linux Local Security Checks	2026/9/3	2026/9/3	critical
342698	Oracle Linux 10 ： ELSA-2026-62614-0： / php （ELSA-2026-626140）	Nessus	Oracle Linux Local Security Checks	2026/9/3	2026/9/3	critical
342778	Oracle Linux 8 ： ELSA-2026-62334-0： / php：7.4 （ELSA-2026-623340）	Nessus	Oracle Linux Local Security Checks	2026/9/4	2026/9/4	critical
342813	MiracleLinux 8 ： php：7.4 （AXSA：2026-1772：01）	Nessus	Miracle Linux Local Security Checks	2026/9/4	2026/9/8	critical
356054	Rocky Linux 9 [CIQ] 安全性更新：php / php-bcmath / php-bcmath-debuginfo / php-cli / etc 多個弱點（crlsa-2026_61259）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	critical
356157	Rocky Linux 8 [CIQ] 安全性更新：apcu-panel / libzip / libzip-debuginfo / libzip-debugsource / etc 多個弱點（crlsa-2026_62334）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	critical
357151	Rocky Linux 8 [CIQ] 安全性更新：apcu-panel / libzip / libzip-debuginfo / libzip-debugsource / etc 多個弱點（crlsa-2026_57574）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical