据外媒 Securityaffairs 近日披露，PHP7 中一个远程代码执行漏洞在野利用被发现，该漏洞名为 CVE-2019-11043。
10 月 22 日，安全专家 Omar Ganiev 通过 Twitter 宣布了 PHP-FPM （PHP 的 FastCGI 流程管理器）中“新补丁”远程代码执行漏洞。
据悉，CVE-2019-11043 漏洞不需要使用特定技能即可接入服务器，它是 PHP-FPM 的 fpm_main.c 中的 env_path_info 下溢漏洞。
安全专家 Emil Lerner 于 2019 年 9 月 26 日首次将漏洞报告给 PHP 漏洞跟踪器，该漏洞也归功于研究人员 Andrew Danau。他在 2019 年 9 月的 Capture The Flag 竞赛中发现了该漏洞。
CTF（Capture The Flag）中文一般译作夺旗赛，在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式。 CTF 竞赛模式具体分为以下三类：解题模式、攻防模式和混合模式。
Lerner 解释说，在网络服务器使用 nginx 和 PHP-FPM 的某些配置下，可以利用此漏洞实现远程代码执行。
“GitHub 库中包含的 PoC 脚本可以查询目标服务器，通过发送特定请求来确定它是否易受攻击。”一份分析报道这样写，“一旦确定易受攻击的目标，攻击者便可通过将 URL 中的’?a=’附加到易受攻击的 Web 服务器来发送特定请求。”
10 月 24 日，PHP 维护人员发布了解决 CVE-2019-11043 漏洞的 PHP 7.3.11 （最新稳定版）和 PHP 7.2.24 （旧稳定版）。无疑，将 nginx 与 PHP-FPM 结合使用的管理员应尽快升级其安装。
此外，维护人员还提出了一种解决方法，包括通过加入 try_files 指令或使用 if 语句，例如 if(-f $uri)。
相关文章
有骇客声称盗取了涉及十亿中国公民资讯的警方数据
被公开的小部分数据样本中有的甚至可以追溯到 1995 年。
log4j安全漏洞导致iCloud等云服务器受影响
开源 Log4j 被发现名为 Log4Shell 漏洞，导致包括 Apple iCloud、Steam、Minecraft、Amazon、Twitter、Minecraft 等相关服务的密码数据都有外泄的可能。据The Verge的报导，日志框架 Log4j...
有人一直在入侵 Tor 服务器以对用户进行去匿名化
自 2017 年以来，一位被称为“KAX17”的神秘个人或组织在 Tor 网络的入口、中间和出口位置运行了数千台恶意服务器，试图对 Tor 用户进行去匿名化。