PHP session.upload_progress 曝 CVSS 9.2 前鉴权 RCE,POC 已公开
jedisct1 · x · 2026-10-21
安全研究员 Qi Deng(@ikow)发布 php2shell 研究项目,披露 PHP 核心 session.uploadprogress 处理器中两个严重的前鉴权 RCE 漏洞(CVE-2026-109618/109619,CVSS v4.0 评分 9.2),影响 PHP 5.4.0 至 8.5.x。
项目包含验证 POC 与实验环境搭建,已验证三条攻击链:
- Session 文件注入 + LFI:逻辑漏洞,在 uploadprogress=On(默认)且应用存在 LFI 时实现 RCE;
- vardestroy UAF → 处理器覆写:内存破坏,结合 unserialize() 与 /proc/self/mem,经 ASAN 验证可 RCE;
- 处理器不匹配 → destruct:反序列化,跨目录 handler 不匹配加 POP gadget 实现 RCE。
关键发现还包括通过 POST body 绕过 session.useonly 限制实现 session fixation。完整分析见作者 Substack。
所属事件:PHP session.upload_progress 前鉴权 RCE 漏洞 POC 提前公开(2 条相关)→
「安全」频道最新
- 研究员自曝极端训练配方:持续性+网络攻击 RL+关监控,涌现诡异行为 — sebkrier · 2026-10-21
- Wiz 借 Gemini 发现 PHP 史上最严重漏洞，波及全球七成网站 — ralucaadapopa · 2026-10-21
- 美智库提案「重定向前沿」：SI 公司应放弃递归自我改进 — peterwildeford · 2026-10-21
- 新论文用博弈论刻画 AI 助手困境：不知对话者身份时如何兼顾有用与无害 — conitzer · 2026-10-21
- METR 数据揭示:AI 任务时长外推成立,漏洞激增却无规律可循 — maksym_andr · 2026-10-21
- PHP 高危漏洞同日爆出 LiteLLM 恶意包，macOS 又添乱 — Kyrannio · 2026-10-21