【缝隙公告】PHP ext-pgsql SQL注入缝隙(CVE-2026-17543)

颁布功夫 2026-08-14

一、缝隙概述


Z6·人生就是博(中国区)官方网站


PHP是一种宽泛使用的开源服务器端剧本说话，重要用于Web利用法式开发。ext-pgsql是PHP提供的PostgreSQL数据库扩大组件，用于实现PHP利用法式与PostgreSQL数据库之间的衔接、查问及数据操作职能，支持蕴含数据插入、更新、查问和删除等数据库交互操作。

2026年8月14日，Z6人生就是博安全应急响应中心（VSRC）监测到PHP ext-pgsql SQL注入缝隙。该缝隙存在于php_pgsql_convert()函数处置用户输入参数的过程中，由于函数使用PQescapeStringConn()对参数进行转义后，再通过php_pgsql_add_quotes()封装为E...转义字符串常量，而默认配置下未正确处置反斜杠字符，导致攻击者可机关特殊输入绕过转义机造并注入SQL语句。攻击者可通过挪用pg_insert()、pg_update()、pg_select()和pg_delete()等有关职能提反目意参数，实现SQL语句篡改，可能导致数据库查问了局异常、数据泄露、数据批改等安全风险。



二、影响领域



PHP ext-pgsql < 8.2.33

PHP ext-pgsql < 8.3.33

PHP ext-pgsql < 8.4.24

PHP ext-pgsql < 8.5.9



三、安全措施



3.1 升级版本


官方已颁布建复补丁，以建复该缝隙

PHP ext-pgsql >= 8.2.33

PHP ext-pgsql >= 8.3.33

PHP ext-pgsql >= 8.4.24

PHP ext-pgsql >= 8.5.9

下载链接：

https://github.com/php/php-src/releases/


3.2 一时措施


暂无。


3.3 通用建议


定期更新系统补丁，削减系统缝隙，提升服务器的安全性。

加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。

使用企业级安全产品，提升企业的网络安全机能。

加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度。

启用强密码战术并设置为定期批改。


3.4 参考链接


https://github.com/php/php-src/security/advisories/GHSA-7qpv-r5mr-78m4/

https://nvd.nist.gov/vuln/detail/CVE-2026-17543