距 PHP2SHELL大核弹漏洞详情发布前8小时的前瞻

原创

AugustTheodor
AugustTheodor

重生之成为赛博女保安

2026年10月21日 15:35
吉林

去阅读

前言

又来蹭热度了家人米！

在今晚十点（2026-10-21 14:00 UTC）漏洞详情正式公布之前，先快速地给这个在X上闹翻天的被赐名为堂堂的“PHP2SHELL”的这两个漏洞做一个前瞻。

PS：标题时间是按截稿时间算的，手打比较慢靴靴。

漏洞编号

CVE-2026-109618 和 CVE-2026-109619。

漏洞评分

9.2 和 9.2。

漏洞分析

这个时候就有人要说了，没有漏洞详情分析个鸡蛋啊 ^ ^。不过没事，正经的详情之后再说，先看看 GitHub 上偷跑的 POC，踩中了血赚，没中明天我也懒得发了。

以下是我找到的能够复现且危害算是可以的POC。

19h/CVE-2026-109618

仓库链接

https://github.com/19h/CVE-2026-109618

漏洞原理

简单来说是任意session值的写。

1. 任意multipart请求带上 PHPSESSID 普通字段，session 模块会在脚本执行前拿到指定的 SID
2. 第二个multipart请求里放 PHP_SESSION_UPLOAD_PROGRESS，上传进度就会以 upload_progress_<值> 写进session

利用条件

1. 有可控的类文件包含（include）
2. 知道 session.save_path
3. 目标进程能读到对应的 session 文件
4. session 内容在请求结束后还在

简单来说，要达到RCE的效果需要一系列巧合。Demo里也是依靠写session再include达成RCE。

推测评分

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N，算出来倒也是9.2，但是没有RCE不太符合PHP2SHELL这个名字。

Zer061/CVE-2026-109618

仓库链接

https://github.com/Zer061/CVE-2026-109618

漏洞原理

这个涉及二进制，比较拗口。

首先，PHP处理 session.upload_progress 的时候会维护一个上传进度数组A。处理文件时，代码会把其中两个计数字段（a1，a2）的地址缓存进 php_session_rfc1867_progress。 假设我们已经上传了一个文件，在第二次上传后，A的内存被释放了，但 php_session_rfc1867_progress里的引用位置没变，就造成了一个UAF（释放后引用）。

在此前提下，这个漏洞通过使用一个长数组试图覆盖a1和a2的值，进而造成RCE。不过我这边跑了一波POC没发现利用成功（它自己的表述也很模糊，一会中了一会没中的）。 不过理论是这么个理论，加上分数合适，看上去比较牛福，所以选进来了。

利用条件

/

推测评分

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N，要是执行成功也是9.2，可惜目前没有成功。

这个漏洞的危害到底能有多大

这就得从这个9.2说起了。

首先CVSS4.0是有个成熟的计算规则的，具体可以参考：

https://www.first.org/cvss/calculator/v4-0

我们从最大的危害来算的话，这个漏洞的CVSS可以是利用过程复杂的无交互无认证远程RCE：

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

从最小的危害来算的话，这个漏洞的CVSS则会是需要前置条件的无交互无认证远程RCE：

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

总结

目前能看到的公开的都是粑粑（现在才两点钟哈，当然可能我按关键词没搜到）。 不过这次的漏洞让我想起两年前的一个吹上天的PHP XAMPP RCE（请看：【高危0day】PHP+XAMPP超高危漏洞，影响国区数万主机），但是后面给打HC的朋友试了下没啥用，所以还是拭目以待吧。

彩蛋

虽然没复现出来第二个漏洞，不过defender已经把它收了，何尝不是一种已复现，欧耶。