Calif 发布 php2shell 图文长文:两枚 PHP 远程漏洞的 20 年溯源
Zulfikar_Ramzan · x · 2026-10-22
hdmoore 推荐 Calif Research 的 php2shell 漏洞叙事长文,称其是了解 php2shell 漏洞「最详尽也最有娱乐性」的读法。文章以漫画分页形式讲述两枚 PHP 远程漏洞(CVE-2026-109618、CVE-2026-109619)的完整脉络——由 Calif、OpenAI 和 Wiz 共同发现,已在 PHP 2026 年 10 月安全版本中修复。
- 溯源起点 2004:Stefan Esser 当年发现首个 PHP 内存上限远程 RCE,因过于致命未公开 exploit,只有 CORE 与 Immunity 的商用 exploit 存在,IRC 上流传的都是钓鱼假 exp
- 2020 年 bug #78876:一个看似无害的 OOM 相关报告成为伏笔
- 文章梳理了 unserialize() UAF、POP 注入等经典 PHP 攻击面如何被逐步清空,以及这两枚新漏洞如何从历史遗留中生长出来
适合安全研究者与 PHP 工程师阅读。
「安全」频道最新
- AIandDesign 梳理近期引发恐慌的 AI 网络安全事件 — AIandDesign · 2026-10-22
- AI 加速挖出潜伏十余年的 PHP 两个高危漏洞，波及约七成网站 — Graham_dePenros · 2026-10-22
- 修复 PHP 漏洞被 OpenAI 安全限制拦住:能修不能验,用户吐槽 Codex 拦截 — Next_Technology6361 · 2026-10-22
- 学者指出:竞速压力正系统性奖励更少安全监督的模型开发决策 — davidmanheim · 2026-10-22
- 安全研究者：竞速压力正系统性削弱模型安全 — Hugging Face Blog · 2026-10-22
- ICML 论文揭提示注入本质：CoT 伪造攻击对前沿模型成功率 60% — ChrisGPotts · 2026-10-22