PHP 8.3.7 的 php-cgi 模式在 Apache 下属根本性配置错误，必须禁用并改用 mod_php 或 php-fpm；误用会导致性能低下、opcache 失效、路径泄露及任意文件执行等严重风险。
PHP 8.3.7 的 php-cgi 模式在 Apache 下本身就不该启用 —— 这是根本性配置错误，不是漏洞修复问题。
为什么 php-cgi 在 Apache 下属于误用场景
Apache 在 Windows（WAMP）或传统 Linux（LAMP）中默认使用模块化方式加载 PHP，即通过 libphp.so（Linux）或 php8apache2_4.dll（Windows）直接嵌入进程。而 php-cgi 是为 CGI 协议设计的独立可执行程序，每次请求都 fork 新进程，性能极低、无连接复用、不支持 opcache 全局共享，且 Apache 的 mod_cgi 对其权限控制松散，容易暴露 SCRIPT_FILENAME 路径泄露、任意文件执行等风险。
常见错误现象包括：
- 访问
/info.php返回空白，但错误日志里出现Primary script unknown - URL 中带查询参数（如
?a=1）时触发 502 或 500，error_log显示couldn't create child process - 攻击者构造
/index.php/anything?cmd=cat%20/etc/passwd成功读取系统文件（典型 CGI 路径解析绕过）
Apache 下必须禁用 php-cgi，改用 php-fpm 或 mod_php
如果你当前配置了 ScriptAlias /php/ "/path/to/php-cgi.exe" 或类似 AddHandler cgi-script .php，请立即撤销。正确路径只有两条：
立即学习“PHP免费学习笔记（深入）”；
-
Windows（WAMP）：确保
httpd.conf中启用LoadModule php_module "c:/wamp64/bin/php/php8.3.7/php8apache2_4.dll"，并设置AddType application/x-httpd-php .php，PHPIniDir指向对应php.ini -
Linux（LAMP）：停用
mod_cgi和所有ScriptAlias指向php-cgi的配置；启用mod_proxy_fcgi+php-fpm，用ProxyPassMatch ^/(.*\.php(/.*)?)$ fcgi://127.0.0.1:9000/var/www/html/转发
注意：php-fpm 的 security.limit_extensions 必须显式包含 .php（默认值已足够），且 catch_workers_output = yes 可捕获 stderr 错误便于排查。
若因遗留系统被迫保留 cgi 模式，必须加三层硬隔离
这不是推荐做法，但某些老旧定制模块确实依赖 CGI。此时必须叠加以下限制，缺一不可：
- Apache 配置中用
<Files "*.php"> SetHandler None </Files>禁止所有 .php 文件被 CGI 处理，仅允许白名单路径（如/cgi-bin/handler.php）显式启用 - 在
php.ini中强制关闭危险函数：disable_functions = system,exec,passthru,shell_exec,proc_open,popen,pcntl_exec - 操作系统层限制
php-cgi可执行目录：Windows 用组策略禁用非C:\wamp64\cgi-bin\下的调用；Linux 用chmod 750+chown root:www-data并配合 SELinuxhttpd_can_network_connect off
即便如此，php-cgi 仍无法使用 opcache 加速，且 PHP 8.3.7 的 FPM 修复项（如 GH-13563 环境变量布尔解析）在 CGI 下完全不生效 —— 你实际运行的是一个被官方放弃维护的执行路径。
真正要盯住的，是 Apache 自身的 mod_rewrite 规则是否允许双扩展名（.php.jpg）、是否过滤了 %00 截断，以及 php.ini 中 cgi.fix_pathinfo=0 是否生效 —— 这些才是 CGI 模式下最常被利用的突破口，而不是 PHP 版本本身。
