最稳妥的修复方式是升级到已修复的PHP版本。CVE-2026-17543源于php_pgsql_convert()在PostgreSQL standard_conforming_strings=on时反斜杠处理失效导致SQL注入，需升级至PHP 8.2.35/8.3.36/8.4.27/8.5.12及以上，或临时禁用pg_*快捷函数、改用PDO预处理等缓解措施。
直接升级到已修复的PHP版本是最稳妥的办法。CVE-2026-17543本质是php_pgsql_convert()函数在PostgreSQL standard_conforming_strings = on环境下，对反斜杠处理失效导致的SQL注入，不是靠应用层过滤能根治的问题。
确认是否受影响
检查当前PHP版本和PostgreSQL配置：
- 运行
php -v查看PHP主版本，重点确认是否低于8.2.35、8.3.36、8.4.27或8.5.12 - 连接PostgreSQL执行
SHOW standard_conforming_strings;，若返回on（默认值），且PHP未升级，则存在风险 - 检查代码中是否直接调用
pg_insert()、pg_update()、pg_select()、pg_delete()等快捷函数
首选修复方式：升级PHP
官方已在以下版本中彻底修复该漏洞：
- PHP 8.2.35 及以上
- PHP 8.3.36 及以上
- PHP 8.4.27 及以上
- PHP 8.5.12 及以上
升级后无需修改业务代码，php_pgsql_convert()内部已弃用E''包裹逻辑，改用安全的非转义字符串常量构造方式，从根源消除转义冲突。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
临时缓解措施（仅限无法立即升级时）
这些方法不能替代升级，但可降低被利用概率：
- 禁用相关快捷函数：在
php.ini中设置pgsql.disable_functions = pg_insert,pg_update,pg_select,pg_delete，强制改用原生pg_query()配合pg_escape_string()或PDO预处理 - 手动绕过
php_pgsql_convert()：所有数据库操作改用PDO或pg_query_params()，用占位符传参，完全避开漏洞路径 - 如必须保留旧函数，可在Web入口层（如Nginx）对含
E'、'、\'等特征的请求参数做拦截（注意误杀风险）
验证修复效果
升级或调整后建议验证：
- 再次运行
php -v确认版本号已达修复阈值 - 用PoC测试用例（如构造
name=abc' OR 1=1 --传给pg_select()）确认不再返回异常数据 - 检查错误日志中是否仍有
PQescapeStringConn相关警告或SQL解析错误
