php2shell：两个 PHP 远程漏洞的二十年考古式剖析

moyix · x · 2026-10-21

Calif、OpenAI 与 Wiz 联合发现两个 PHP 远程漏洞（CVE-2026-109618 / CVE-2026-109619），已在 PHP 十月安全版本中修复。Write-up 采用「时间之旅」叙事：从 2004 年 Stefan Esser 发现的首个 PHP memory-limit RCE 讲起——当年漏洞严重到他拒绝公开 exploit，商业漏洞厂商 CORE 与 Immunity 各自持有私有利用；随后覆盖 2008 年 call-time-pass-by-reference 等漏洞、unserialize() UAF 与 POP 链时代，以及 2020 年 jr@coredu 上报的看似无害的 OOM bug #78876 等线索，最终串联出本轮两个可远程利用的漏洞。作者团队此前已做过一轮 PHP 残留漏洞挖掘，未发现默认可利用向量，本次属于更深层挖掘的成果。