近期PHP的数据库抽象层PDO曝出两个安全漏洞，分别为‌影响pdo_firebird驱动的高危SQL注入漏洞（CVE-2026-25289）‌和‌影响pdo_pgsql驱动、可导致拒绝服务的中危漏洞（CVE-2026-25290）‌。‌‌‌
漏洞详情与影响分析
‌CVE-2026-25289：pdo_firebird驱动高危SQL注入漏洞‌
‌漏洞原理‌：该漏洞源于pdo_firebird驱动底层使用不安全的C语言字符串处理函数（strncat）。攻击者可在输入中嵌入NUL字节（ASCII 0），导致PDO::quote()函数执行的安全转义在后续预处理步骤中被破坏，从而使恶意数据突破引号保护，注入到可执行的SQL语句中。
‌风险等级与影响‌：该漏洞被评定为高危。成功利用可导致‌SQL注入攻击‌，攻击者可能窃取或篡改数据库中的敏感信息，例如用户凭证、订单数据等。‌‌‌
‌CVE-2026-25290：pdo_pgsql驱动中危拒绝服务漏洞‌
‌触发条件与原理‌：该漏洞在‌显式启用模拟预处理语句模式‌的配置下触发。攻击者提交畸形输入可能导致PHP工作进程在处理过程中崩溃，引发拒绝服务（DoS）。
‌风险等级与影响‌：该漏洞被评定为中危（CVSS评分约7.3）。虽然不会直接导致数据泄露，但进程崩溃可能使正在进行的事务处于不一致状态，对依赖数据强一致性的业务系统（如金融交易、实时调度）造成严重影响。‌‌‌
修复建议与影响范围
‌官方修复与升级‌：PHP官方已在安全更新中修复了这两个漏洞。对于pdo_firebird驱动，修复方案是‌改用二进制安全的方法处理字符串‌，杜绝NUL字节混淆边界的问题；对于pdo_pgsql驱动，则‌加固了模拟预处理模式下的空指针检查‌。
‌影响范围与行动建议‌：漏洞影响使用PDO连接Firebird或PostgreSQL数据库的旧版本PHP应用。‌建议所有系统管理员尽快将PHP升级至包含修复补丁的最新版本‌。同时，应重新评估数据库驱动的运行时配置，‌审慎考虑是否必须开启非默认的“模拟预处理语句”等兼容模式‌，以最小化攻击面。‌‌‌