Phar è un formato e un'estensione di archivio PHP usati per impacchettare e caricare file applicativi. Un archivio Phar può raggruppare codice, metadati e risorse in un unico file, semplificando la distribuzione e consentendo a PHP di accedere al contenuto archiviato tramite normali operazioni in stile filesystem. Questa comodità fa anche sì che Phar faccia parte della superficie di attacco ogni volta che un'applicazione elabora file o percorsi non attendibili.
In termini di sicurezza, Phar è rilevante perché l'analisi degli archivi è complessa e spesso avviene all'interno del runtime. Se è raggiungibile un percorso di codice vulnerabile, un archivio malformato o una struttura di percorso غير comune può innescare crash o altri comportamenti inattesi, creando un rischio di denial-of-service. I difensori riducono l'esposizione mantenendo PHP aggiornato con le patch, disabilitando le estensioni non utilizzate, limitando quali file possono essere caricati o analizzati e trattando la gestione degli archivi come un problema di validazione dell'input, proprio come qualsiasi altra logica di elaborazione dei file.