PHP 8.3.7 的 php-cgi 模式本身不直接暴露远程漏洞，但若配置不当（尤其是启用 CGI 模式且未限制访问），可能被利用触发任意文件读取、参数注入或环境变量污染；防护核心是关闭非必要 CGI 行为并收紧执行上下文，关键措施包括强制设置 cgi.fix_pathinfo=0、禁用危险函数与动态加载、锁定 open_basedir，并验证 Server API 确实为 FPM/FastCGI 而非 CGI / FastCGI。
PHP 8.3.7 的 php-cgi 模式本身不直接暴露远程漏洞，但若配置不当（尤其是启用 CGI 模式且未限制访问），可能被利用触发任意文件读取、参数注入或环境变量污染。防护核心不是“修补某个 CVE”，而是**关闭非必要 CGI 行为 + 收紧执行上下文**。
为什么 php-cgi 模式在 PHP 8.3.7 中仍需警惕
Apache 或 Nginx 若错误地将 .php 文件交由 php-cgi.exe（Windows）或 php-cgi（Linux）直接执行（而非通过 PHP-FPM 或 mod_php），就可能触发 CGI 特有的攻击面：比如通过 QUERY_STRING 注入环境变量（如 PHP_VALUE）、绕过 open_basedir、或触发 SCRIPT_FILENAME 解析错误导致路径穿越。PHP 8.3.7 已修复多个 CGI 相关的空指针和越界问题（如 GH-14003、GH-13563），但**默认配置仍允许危险行为**。
必须禁用的 php.ini 项：cgi.fix_pathinfo=1 是最大风险源
这是绝大多数 php-cgi 利用链的起点。当 cgi.fix_pathinfo=1（默认值）时，PHP 会尝试“猜”真实脚本路径，例如请求 /index.php/anything.php 可能被解析为执行 anything.php —— 攻击者借此绕过 Web 服务器的后缀白名单。
-
立即设为：
cgi.fix_pathinfo=0—— 这是硬性要求，不接受任何妥协 - 确认该设置在运行中的配置生效：
php --ini查找加载的php.ini，再用php -i | grep cgi.fix_pathinfo验证值为0 - 若使用 Nginx，还需在 server 块中显式丢弃非法 PATH_INFO：
fastcgi_split_path_info ^(.+?.php)(/.*)$;+if (!-f $fastcgi_script_name) { return 404; }
限制 CGI 环境变量篡改：php_admin_value 不等于安全
攻击者可通过 URL 参数（如 ?-d+allow_url_include=1）向 php-cgi 传入额外 -d 指令，覆盖 php.ini 设置。仅靠用户级 php_value 无效，必须用 Apache 的 php_admin_value 或 Nginx 的 fastcgi_param 强制锁定：
立即学习“PHP免费学习笔记（深入）”；
- 禁用动态加载：
php_admin_value allow_url_include 0（Apache）或fastcgi_param PHP_VALUE "allow_url_include=0";（Nginx） - 禁用危险函数：
php_admin_value disable_functions "exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,load_extension"—— 注意：PHP 8.3.7 中load_extension仍可被滥用，必须禁用 - 强制 open_basedir：
php_admin_value open_basedir "/var/www/html:/tmp"（Linux）或"C:/wamp64/www;C:/Windows/Temp"（Windows），路径末尾不能漏分号
检查 CGI 模式是否真的在运行
很多用户以为自己用的是 PHP-FPM，实际却因配置残留仍在走 php-cgi。验证方法简单直接：
- 创建一个
info.php，内容为<?php phpinfo(); ?> - 访问后搜索
Server API字段：显示CGI / FastCGI就是 CGI 模式；显示FPM/FastCGI才是 PHP-FPM - 若看到
CGI / FastCGI，说明你正运行高风险模式 —— 此时修改php.ini只是补救，根本解法是切换到 PHP-FPM 并停用php-cgi监听
真正棘手的不是参数怎么写，而是很多人改了 cgi.fix_pathinfo 却没意识到 Web 服务器仍把请求发给了 php-cgi 而非 FPM；或者禁用了 system()，却忘了 disable_functions 对 CLI 模式无效 —— CGI 模式下，每个 HTTP 请求都等价于一次 CLI 执行。
