ZONE.CI 全球网

该文档为源影安全团队对PHP远程代码执行漏洞CVE-2026-109618和CVE-2026-109619的第一阶段研究。漏洞位于PHP引擎层，影响8.5.11及以下等多个版本，默认配置下无需登录即可触发，可导致服务崩溃、信息泄露及任意命令执行。复现需display_errors=On且仅验证mod_php，利用代码依赖特定内存偏移。建议立即升级至官方修复版本或设置memory\\_limit=-1。

本文详细复现了PHP会话反序列化RCE漏洞（CVE-2026-109618/CVE-2026-109619），利用session.upload\\_progress机制、会话固定与处理器错位构建攻击链，实现未授权远程代码执行。文章提供了完整的Docker靶场搭建步骤、POC代码及验证过程，并强调仅限授权环境使用。建议修复版本为PHP8.2.35及以上，操作性强，对安全研究具有较高参考价值。

PHP官方发布紧急更新修复两项远程代码执行漏洞，360漏洞研究院已可稳定复现漏洞并评估其利用链，受影响版本需升级至对应分支的修复版本，建议用户尽快采取修复措施。

2026年10月20-21日主流语言与运行时密集披露高危漏洞，其中PHP两个CVSS9.2未认证RCE漏洞（php2shell）影响千万级，可致堆UAF、内存泄露和远程代码执行，POC已公开。同期涉及Node.js、Java、MySQL、Go、.NET、Traefik、Vyper、Perl、Ruby、Python、LiteLLM供应链投毒及eMudhraCA私钥泄露等。文章提供各组件修复版本及优先处置建议，强调PHP最优先升级排查入侵痕迹。

本文详细复现了Linux内核SELinux策略绕过漏洞CVE-2026-98214，该漏洞源于嵌套overlayfs场景下mprotect路径缺失中间层挂载者检查，导致低权限进程可绕过SELinux禁止执行策略。影响Linux7.2版本，建议升级至包含修复提交78fc54b934bf的内核。文章提供了完整复现过程、原理分析及车联网场景相关性评估，具备较高技术参考价值。

本文由弥天安全实验室发布，成功复现SPIP系统远程代码执行漏洞CVE-2026-77806。该漏洞影响SPIP4.4.21之前版本，源于X-Spip-FiltreHTTP请求头被错误处理，未经身份验证的远程攻击者可执行任意代码。文章提供了详细复现步骤与POC，并建议升级至最新版本或部署WAF等防御设备以缓解风险。

深瞳漏洞实验室披露PHP两个预认证远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，影响8.2至8.5多个版本，威胁等级严重，可绕过disable\\_functions执行任意命令。官方已发布修复补丁，建议升级至最新版本，并提供了临时缓解措施及深信服相关检测防护方案。

天融信阿尔法实验室发布PHP远程代码执行漏洞CVE-2026-109618和CVE-2026-109619（PHP2Shell）风险提示，两漏洞CVSSv4.0评分均为9.2，已被在野利用，影响PHP5及之后所有版本。官方已发布修复版本，建议用户尽快升级并重启服务，同时可采取收敛攻击面、部署WAF、关闭session.upload\\_progress.enabled等临时缓解措施。

本文复现CVE-2026-109618PHPCore远程代码执行漏洞，成因是OOM导致请求状态未完整初始化即退出，后续清理流程读取无效状态造成内存破坏。影响PHP8.2至8.5多个分支，官方已发布修复版本。建议升级至修复版本并重启服务，临时可设置memory\\_limit为-1缓解，同时限制multipart请求体积并监控异常退出。

本文拆解开源AI渗透测试工具pentest-ai，其核心设计是模型仅提出候选漏洞，必须通过机器判据重放验证才能获得verified结论，杜绝AI编造证据。工具提供差分、OAST等七类判据，支持范围控制、凭证隔离，并给出实测零误报数据。建议关注其验证机制与安全设计。

启明星辰ADLab披露PHP两个高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，统称php2shell，无需认证即可远程触发。漏洞源于OOM异常导致请求状态损坏及残留内部状态引发释放后使用，影响PHP8.2至8.5多版本分支，已在8.4.26复现成功。建议立即升级至修复版本，并采取关闭上传进度、限制multipart请求等临时缓解措施。

绿盟科技CERT发布PHP远程代码执行漏洞通告，涉及CVE-2026-109618与CVE-2026-109619，CVSS评分9.2，已发现在野利用。影响PHP8.5.11及以下多个版本，可致进程崩溃及任意代码执行。建议尽快升级至安全版本，并采取临时缓解措施，同时排查受影响资产并监控异常行为。

PHP曝出php2shell高危漏洞（CVE-2026-109618、CVE-2026-109619），CVSS评分9.2，攻击者可在特定条件下无需认证远程执行代码。漏洞位于PHP核心层，影响近十年版本，Apachemod\\_php部署已被证实可完整利用。工控设备Web管理面普遍使用PHP，补丁可达性差，暴露风险高。建议立即排查资产、升级至安全版本，并采取临时缓解措施。

本文披露PHP两个高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，源于请求生命周期状态管理缺陷，无需认证即可触发堆UAF，导致内存泄露与远程代码执行。影响PHP8.2.35以下等多个版本。官方已发布修复版本，建议立即升级至PHP8.5.12、8.4.27、8.3.36或8.2.35，并重启服务或重建容器镜像。

PHP核心出现严重漏洞，可导致远程代码执行，长亭已复现并发布修复方案，建议尽快升级或采取临时缓解措施。

长亭安全应急响应中心披露PHPCore远程代码执行漏洞（CVE-2026-109618/109619），攻击者无需认证即可利用跨请求use-after-free读取进程内存或执行任意代码，影响PHP5.4至8.5多个版本。官方已发布修复版本，建议用户尽快升级至安全版本，并可通过关闭会话上传进度功能等临时缓解措施降低风险。

本文为ExchangeProxyShell攻击链的实战复现记录，涵盖CVE-2021-34473、CVE-2021-34523、CVE-2021-31207三个漏洞的原理分析、利用脚本使用及失败排查过程。作者分享了通过审计源码获取Token、绕过CVE-2018-8581补丁影响等关键技巧，并提供了手动复现思路与自动化脚本方案，对红队实战具有较高参考价值。

深瞳漏洞实验室披露PHP会话上传进度机制存在两个预认证远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，影响PHP8.2至8.5多个版本，威胁等级严重，攻击者无需认证即可远程利用，可绕过disable_functions执行任意命令。官方已发布修复补丁，建议升级至最新版本，同时可采取禁用session.upload_progress等临时缓解措施。

本文复现了PHP核心远程代码执行漏洞CVE-2026-109618与109619，影响PHP多个版本，CVSS评分9.2。漏洞源于session.upload_progress在rinit前解析multipart，导致OOM后内存损坏及跨请求状态污染，攻击者无需认证即可在Apachemod_php下实现完整RCE。官方修复版本为8.2.35/8.3.36/8.4.27/8.5.12，建议立即升级。

本文复现CVE-2026-109618/109619（php2shell）漏洞，影响PHP5.4至8.5全系列，触发面宽但稳定RCE条件苛刻。漏洞本质为OOM长跳转绕过清理导致跨请求UAF，需两个请求配合利用。作者在64位环境复现成功，32位环境结构性不成立。文章强调需区分PoC边界与漏洞边界，并指出关闭upload\\_progress仅能挡住四条路径之一。