PHP Composer 多个新漏洞可导致任意命令执行

2026-06-29 10:39:58

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

PHP的包管理器 Composer 中存在两个高危漏洞，如遭成功利用可导致任意命令执行。

这两个漏洞影响 Perforce VCS（版本控制软件），简述如下：

CVE-2026-40175（CVSS评分7.8）是一个输入验证不当漏洞，可导致攻击者利用恶意 composer.json 中的Perforce仓库配置注入任意命令，在运行Composer的用户上下文中执行命令。
CVE-2026-40261（CVSS评分8.8）：因转义不足导致的输入验证漏洞，攻击者可通过包含shell元字符的构造源引用注入任意命令。

维护者指出，即使系统未安装Perforce VCS，Composer仍会执行上述注入命令。这两个漏洞影响如下版本：

>= 2.3 且 < 2.9.6（已在2.9.6中修复）
>= 2.0 且 < 2.2.27（已在2.2.27中修复）

若无法立即打补丁，建议在运行Composer前检查composer.json文件，确保Perforce相关字段包含有效值；仅使用受信任的Composer仓库；仅对来自可信源的项目运行Composer命令；避免使用 --prefer-dist 选项或preferred-install: dist配置。

Composer表示扫描Packagist.org后并未发现攻击者通过发布包含恶意Perforce信息的软件包利用上述漏洞的证据。针对自托管Private Packagist用户，预计将发布新版本。

Composer 表示，作为预防措施，自2026年4月10日（周五）起，Packagist.org已禁用Perforce源元数据的发布。无论何种情况，建议用户立即更新Composer安装。

开源卫士试用地址：https://oss.qianxin.com/#/login

代码卫士试用地址：https://sast.qianxin.com/#/login