近日，国家信息安全漏洞共享平台（CNVD）发布最新安全公告，PHPCMS 2008存在代码注入漏洞，漏洞编号为CNVD-C-2018-127157，CVE编号：CVE-2018-19127。攻击者利用该漏洞，可在未授权的情况下实现对网站文件的写入。该漏洞的综合评级为“高危”。

PHPCMS 2008是一款基于 PHP+Mysql 架构的网站内容管理系统，也是一个开源的 PHP 开发平台。PHPCMS网站内容管理系统是采用OOP（面向对象）方式自主开发的框架，该框架具有易扩展、稳定且具有较高的负载能力，是国内主流CMS系统之一。

攻击者利用该漏洞，远程通过代码注入，可在未经授权的情况下，向网站上路径可控的缓存文件写入任意内容，进而可能在目标网站上植入后门，实现在未经授权的情况下，对目标网站进行远程命令执行攻击。

影响版本

PHPCMS2008 sp4及以下版本

安全建议

1、PHPCMS 2008 官方已不再维护，建议升级到 2008 以上的版本(包括PHPCMS V9等)：http://www.phpcms.cn/v9/

2、使用第三方防火墙进行防护(如创宇盾[https://www.yunaq.com/cyd/])

3、进行技术业务咨询：

     知道创宇技术业务咨询热线 : 

• 400-060-9587(政府，国有企业)
• 028-68360638(互联网企业)

 

漏洞公告发布后，创宇盾安全专家第一时间进行响应。经确认，知道创宇云安全旗下云防御平台创宇盾无须升级安全策略即可有效拦截利用该漏洞的攻击。