ZONE.CI 全球网

文章分享作者从事网络安全挖漏洞副业的经验，强调挖洞必须先获授权，推荐参加官方SRC和众测平台如补天、漏洞盒子等，介绍常用工具如BurpSuite、sqlmap等，建议从低危漏洞入门并系统学习技术。文章末尾大量推广免费领取282G学习资料，软文性质明显。

PHP核心爆出php2shell漏洞（CVE-2026-109618/CVE-2026-109619），CVSS9.2分，源于session上传进度机制UAF缺陷，攻击者发送multipartPOST请求即可执行任意命令。PHP8.1及以下无官方补丁，仅8.2至8.5有修复。建议立即关闭session.upload\\_progress.enabled配置并升级至受支持版本，同时排查异常子进程和webshell落地。

PaloAltoGlobalProtect产品存在CVE-2026-0257身份验证绕过漏洞，遭Qilin、INC等勒索软件团伙大规模利用，影响教育、金融、医疗等多个行业。攻击者利用漏洞建立未授权VPN连接进入内网，并进一步攻击虚拟化设施。官方建议相关组织尽快排查资产并修复漏洞，以防范勒索软件攻击。

DrupalFieldUI存在高危远程代码执行漏洞CVE-2026-108097，影响多个版本，无需认证即可远程利用。官方已发布修复补丁，建议升级至安全版本，同时可采取关闭非必要模块、限制公网暴露等临时缓解措施。深信服相关产品已支持检测与防护。

PHP存在两个严重远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，CVSSv4.0评分9.2，未经身份验证即可远程利用，成因涉及代码注入与越界写，攻击面可能在会话上传进度处理路径。官方尚未发布修复版本，计划于2026年10月21日22时发布安全更新。建议临时关闭session.upload\\_progress.enabled，对非必要互联网可达的PHP系统实施访问控制。

KVM逃逸漏洞CVE-2026-99999（PwnEscape）源于Linux内核网络栈校验和卸载机制缺陷，攻击者可篡改IPv4报文头实现主机内存泄露与代码执行。影响KVM及多类虚拟化平台，Linux主线已修复，管理员需更新主机内核。建议关注发行版安全公告，评估虚拟化环境风险。

绿盟科技CERT发布PHP远程代码执行漏洞通告，涉及CVE-2026-109618和CVE-2026-109619，源于session上传进度处理机制的内存管理缺陷导致Use-After-Free，CVSS评分9.2。影响PHP5.x至8.5.11等多个版本，建议升级至8.5.12及以上版本，或采取禁用session.upload\\_progress.enabled等临时防护措施。

PHP安全团队提醒管理员准备安装紧急安全更新，修复两个严重0day漏洞，编号CVE-2026-109618和CVE-2026-109619，为远程代码执行漏洞，影响PHP5至8版本，CVSS评分高达9.2至10分。漏洞信息在计划披露前泄露，但尚未有在野利用证据。建议管理员在补丁发布后立即安装更新。

天融信阿尔法实验室发布PHP远程代码执行漏洞CVE-2026-109618和CVE-2026-109619的风险提示，两漏洞CVSSv4.0评分均为9.2，影响PHP5及之后所有版本，初步指向会话上传进度处理的use-after-free问题。官方计划于2026年10月21日发布安全更新，建议用户清查资产、补丁发布后立即升级，并可在补丁发布前关闭session.upload\\_progress.enabled作为临时缓解措施。

ChromeOS156稳定版推送跨里程碑更新，一次性修复117个浏览器漏洞，含13个critical、87个high，主要类型为useafterfree，集中在v8、media、pdf、webrtc等组件。ChromeOS专属修复包括Mali内核UAF、双重释放及ARC虚拟化逃逸问题，建议用户立即更新至156.0.8078.42版本。

本文实战分析若依框架多个历史漏洞，包括SQL注入、任意文件读取、Shiro反序列化、后台定时任务RCE及Thymeleaf模板注入等，并给出具体POC与利用方法。建议使用若依框架的系统及时升级版本，加强后台访问控制与输入校验，防范已知漏洞攻击。

php2shell（CVE-2026-109618/CVE-2026-109619）是PHPCore中两个无需认证即可远程触发的代码执行漏洞，CVSS评分9.2，影响所有处理Web请求的PHP安装，暴露面约2260万实例。PHP官方已发布修复版本8.5.12/8.4.27/8.3.36/8.2.35，升级是唯一完整解决方案。PoC已证明会话处理路径攻击面真实可达，但完整武器化仍有距离。EOL分支需源码回溯补丁或网络隔离，临时措施仅能降低特定路径暴露。

文档披露PHP8.5全版本存在核弹级远程代码执行漏洞CVE-2026-109618/109619，源于Zend引擎垃圾回收机制缺陷，攻击者可无鉴权通过堆溢出、内存泄露、劫持GOT实现远程命令执行，影响大量容器化公网业务。文章提供Docker靶场复现流程，演示获取www-data权限并建议防范。

PHPCore存在两个未授权远程代码执行漏洞CVE-2026-109618/109619，CVSS评分9.2，影响PHP5至8.5版本。漏洞源于session.upload_progress机制释放后使用，攻击者可远程执行任意命令。建议升级至官方修复版本，临时可禁用session.upload_progress.enabled缓解风险。

本文分析PHP两个严重RCE漏洞CVE-2026-109618和CVE-2026-109619，涉及Session注入加LFI、反序列化UAF及Session处理器不一致三条利用链，攻击者可能无需账号即可控制服务器。建议立即升级PHP至官方修复版本，临时措施包括关闭Session上传进度功能、限制请求大小，并检查异常日志和可疑文件。

Cellebrite披露了一种名为AU的突破性技术，能够绕过iPhone锁屏密码提取数据，但仅限于部分机型和iOS版本。技术依赖于蓝牙漏洞，有效距离可达8米。Cellebrite解释了AU的工作原理，并分析了其与Apple安全策略的冲突。

本文分析PHP2Shell漏洞（CVE-2026-109618与CVE-2026-109619），两个PHP内核远程代码执行漏洞，CVSSv4.0均为9.2，无需凭据。漏洞源于bailout后状态损坏，涉及UAF、异常路径处理及未初始化指针。影响PHP8.1至8.5等多个版本，官方已发布修复包。利用条件分触发层与RCE层，RCE载荷对构建环境高度敏感，不存在通用PoC。建议立即升级至修复版本并关注官方安全公告。

奇安信CERT通告PHP存在两个高危远程代码执行漏洞CVE-2026-109618与CVE-2026-109619，影响千万级网站，无需认证即可利用，PoC已公开。漏洞源于请求生命周期状态管理缺陷，可致UAF、内存泄露及远程代码执行。建议立即升级至PHP8.2.35、8.3.36、8.4.27或8.5.12及以上版本，并重启服务或重建容器镜像。

阿里云安全披露PHP两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，代号php2shell，影响Apachemod\\_php及PHP-FPM环境，可致未认证远程代码执行。官方已发布安全更新，建议升级至指定版本，并提供了临时缓解措施，同时建议启用WAF或云防火墙防护。

本文拆解php引擎两个CVSS9.2严重漏洞(php2shell),成因位于请求善后逻辑而非应用代码。漏洞一为内存耗尽时longjmp导致状态污染,漏洞二为全局状态悬垂指针引发UAF,均可未认证远程代码执行。官方已紧急修复,建议立即升级php并关注利用尝试。