PHP紧急发布5.3.10修复重要远程执行代码漏洞

　　近日，PHP 5.3.9被安全人员发现存在严重的安全漏洞，远程攻击者可以直接利用此漏洞执行任意PHP代码，安全风险非常高。这个漏洞是PHP的普及安全扩展建立者，独立安全顾问Stefan Esser发现，并命名为CVE-2012-0830。

　　该漏洞(CVE-2012-0830)是由于PHP官方为解决多语言hash漏洞引入了新的机制产生的新的安全漏洞。 目前PHP官方已经紧急发布了5.3.10版本修复漏洞。

　　在一月初，SecurityFocus归类发布了一个设计错误，它偶然引入了一种独立的拒绝服务漏洞(CVE-2011-4885)。这个漏洞影响了包含了PHP、ASP.NET、JAVA、Python的网页开发平台，它能够被使用在号称“哈希冲突攻击”的攻击行为中。

　　首席漏洞安全专家Carsten Eiram表示，这个哈希冲突攻击采用一个新的指令(max_input_vars) 限制服务器可以被接受的回话数量。但是，鉴于这个php_register_variable_ex()逻辑上的错误，当所提供的参数的数量高于上限的时候，会产生"php_register_variable_ex()" 应用在 php_variables.c中类似的问题，是无法被正确处理的。

　　目前，这个漏洞攻击程序已经在网上公布，专家建议网络服务器管理员马上升级PHP 5.3.10版本。