PHP 8.3本身无官方确认的文件包含漏洞（LFI/RFI），该风险源于开发者代码中include路径未校验或allow_url_include配置不当，而非版本自身缺陷；截至2026年10月27日，CVE、NVD、CNVD及PHP.net均未收录任何PHP 8.3.x原生LFI/RFI漏洞。
PHP 8.3 本身**没有官方确认的文件包含漏洞（LFI/RFI）**。所谓“PHP 8.3 文件包含漏洞”的说法，多数是混淆了应用层缺陷与解释器内核漏洞——文件包含风险从来不由 PHP 版本自带，而取决于开发者如何使用 include、require 等函数，以及服务器配置是否放行危险行为。
看是否真实存在底层 LFI/RFI 漏洞
截至 2026 年 10 月 27 日，PHP 官方安全公告、CVE 数据库（NVD、CNVD）、OSV 及 PHP.net 均未收录任何影响 PHP 8.3.x 系列的原生文件包含漏洞。这意味着：
- PHP 8.3 解释器不会因版本号本身导致
include($_GET['page'])自动变成可利用漏洞； - 如果网站出现 LFI，根源一定是代码中路径拼接未校验、未白名单化，或配置项如
allow_url_include = On被错误开启； - 将扫描报告中标记的“LFI 风险”直接归因为 PHP 8.3，属于误判。
看实际利用条件是否满足远程未授权执行
真正构成高危风险的文件包含，必须同时满足两个关键条件：
- 用户可控的文件路径参数（如
?file=../../etc/passwd）能被直接传入include()或类似函数； - 服务器环境允许读取敏感本地文件（LFI），或启用了
allow_url_include且外部可控（RFI）。
仅能读取日志、图片等非敏感内容，或需登录后才能触发，风险等级应判定为中低危；若可直接读取 .env、源码、私钥，或结合 php://filter / data:// 协议执行代码，则属高危。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
看是否与已知高危 RCE 漏洞形成组合利用
在 PHP 8.3.x
- 先通过 LFI 读取 session 文件或日志，获取内存布局信息，辅助绕过 ASLR；
- 再利用 OOM 腐蚀或 stale global state 触发 RCE，实现稳定控制；
- 这种“LFI + 内核 RCE”组合，在实战中常被用于提权或逃逸容器。
此时，即使单看 LFI 本身只是中危，整体风险也应按 RCE 级别（CVSS ≥ 9.2）定为高危。
看防护措施是否到位
风险等级不能脱离实际防护状态判断。同一段存在路径拼接的代码，在不同配置下风险差异极大：
- 禁用
allow_url_include、关闭session.upload_progress.enabled、限制open_basedir，可大幅压缩利用面； - 启用 Web 应用防火墙（WAF）规则拦截
../、php://、data://等特征，能有效阻断常见利用； - 若已升级至 PHP 8.3.36，底层 RCE 通道已关闭，此时 LFI 更多是信息泄露风险，而非直接接管服务器。
