PHP 8.3 站点本身无未授权访问漏洞，但若版本低于 8.3.36，则存在 CVE-2026-109618/109619 预认证 RCE 漏洞，攻击者可绕过所有应用层权限控制直接执行代码；必须升级至 8.3.36 或更高版本，否则任何未授权扫描均意义有限。

PHP 8.3 站点本身不直接“存在未授权访问漏洞”，但运行在 PHP 8.3 上的 Web 应用（如 CMS、自研后台、API 接口）可能因逻辑缺陷或配置错误，暴露出未授权访问风险。尤其要注意：2026年曝出的 PHP2Shell（CVE-2026-109618 / CVE-2026-109619）虽是远程代码执行漏洞，但其利用前提是“无需身份验证”，这也让未授权入口成为攻击跳板。所以扫描重点不是“PHP 版本有没有未授权漏洞”，而是查清哪些功能点被绕过了登录校验。

查看 PHP 8.3 是否为最新修复版本

先确认你的 PHP 8.3 是否已升级到 8.3.36 或更高（官方于 2026 年 10 月 21 日发布）。低于该版本，攻击者可能利用内存破坏漏洞直接绕过应用层权限控制，导致未授权行为“落地”。

• 登录服务器执行：

  php -v
  # 或针对 Web 环境（如使用 php-fpm）：
  php-fpm8.3 -v

• 若显示 8.3.35 或更低，必须升级——否则任何后续扫描都意义有限，因为底层引擎已被攻破。

扫描常见未授权访问路径

PHP 应用常因开发疏忽暴露敏感接口，以下路径建议手动或工具快速探测（注意避开生产高峰）：

• /admin/、/api/v1/user/profile、/wp-json/wp/v2/users（WordPress）等管理或数据接口
• /install.php、/setup.php、/update.php（安装/升级脚本未删）
• /phpinfo.php、/test.php、/debug.php（调试文件残留）
• /vendor/、/node_modules/ 目录（可能泄露 Composer 或源码结构）
• .git/、.env、config.php.bak（配置文件误公开）

可用 curl 快速试探：

立即学习“PHP免费学习笔记（深入）”；

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

curl -I https://yoursite.com/admin/
curl -s https://yoursite.com/.env | head -n 5

返回 200 OK 或 200 + 明文内容，即存在风险。

检查会话与权限控制逻辑是否失效

未授权访问本质是权限校验缺失或绕过。重点关注：

• 登录态是否仅靠前端 cookie 或 URL 参数传递（如 ?token=xxx），后端未校验有效性
• API 接口是否遗漏 Authorization 头校验，或 JWT 未验签、过期时间设为永不过期
• 后台路由是否依赖“菜单可见性”而非服务端鉴权（典型：前端隐藏了按钮，但接口仍可直调）
• 是否存在水平越权（如 /api/order?id=123 可随意改 id 查他人订单）

建议人工抽样测试 3–5 个核心业务接口：

• 未登录时直接请求，看是否返回敏感数据或成功响应
• 使用低权限账号请求高权限接口（如普通用户调管理员删除接口）
• 修改请求中的 ID、user_id、role 字段，观察响应变化

利用专业工具辅助识别

推荐轻量、可控的开源方案（避免全网扫描引发风控）：

• Nuclei：加载社区模板，例如：

  nuclei -u https://yoursite.com -t http/miscellaneous/phpinfo.yaml
  nuclei -u https://yoursite.com -t cves/2026/CVE-2026-109619.yaml

• Arjun：探测未文档化参数（如 ?debug=true&auth_bypass=1）
• FFUF：爆破常见未授权路径：

  ffuf -u https://yoursite.com/FUZZ -w wordlist/common.txt -t 50 -ac

不复杂但容易忽略