【误差通告】PHP ext-pgsql SQL注入误差(CVE-2026-17543)
宣布时间 2026-08-14一、误差概述
PHP是一种普遍使用的开源服务器端剧本语言 ，主要用于Web应用程序开发。ext-pgsql是PHP提供的PostgreSQL数据库扩展组件 ，用于实现PHP应用程序与PostgreSQL数据库之间的毗连、盘问及数据操作功效 ，支持包括数据插入、更新、盘问和删除等数据库交互操作。
2026年8月14日 ，尊龙凯时清静应急响应中心（VSRC）监测到PHP ext-pgsql SQL注入误差。该误差保存于php_pgsql_convert()函数处置惩罚用户输入参数的历程中 ，由于函数使用PQescapeStringConn()对参数举行转义后 ，再通过php_pgsql_add_quotes()封装为E...转义字符串常量 ，而默认设置下未准确处置惩罚反斜杠字符 ，导致攻击者可结构特殊输入绕过转义机制并注入SQL语句。攻击者可通过挪用pg_insert()、pg_update()、pg_select()和pg_delete()等相关功效提交恶意参数 ，实现SQL语句改动 ，可能导致数据库盘问效果异常、数据泄露、数据修改等清静危害。
二、影响规模
PHP ext-pgsql < 8.2.33
PHP ext-pgsql < 8.3.33
PHP ext-pgsql < 8.4.24
PHP ext-pgsql < 8.5.9
三、清静步伐
3.1 升级版本
官方已宣布修复补丁 ，以修复该误差
PHP ext-pgsql >= 8.2.33
PHP ext-pgsql >= 8.3.33
PHP ext-pgsql >= 8.4.24
PHP ext-pgsql >= 8.5.9
下载链接：
https://github.com/php/php-src/releases/
3.2 暂时步伐
暂无。
3.3 通用建议
按期更新系统补丁 ，镌汰系统误差 ，提升服务器的清静性。
增强系统和网络的会见控制 ，修改防火墙战略 ，关闭非须要的应用端口或服务 ，镌汰将危险服务（如SSH、RDP等）袒露到公网 ，镌汰攻击面。
使用企业级清静产品 ，提升企业的网络清静性能。
增强系统用户和权限治理 ，启用多因素认证机制和最小权限原则 ，用户和软件权限应坚持在最低限度。
启用强密码战略并设置为按期修改。
3.4 参考链接
https://github.com/php/php-src/security/advisories/GHSA-7qpv-r5mr-78m4/
https://nvd.nist.gov/vuln/detail/CVE-2026-17543
京公网安备11010802024551号