Hacker zeigt PHP-Remote-Code-Execution in StealMyBitcoin-Challenge und veröffentlicht Exploit

Was passiert ist

Dieser Proof-of-Concept (PoC) zeigt, wie speziell gestaltete HTTP-Anfragen Speicherbeschädigungen auslösen, interne PHP-Adressen offenlegen und Befehle auf einem verwundbaren Server ausführen können.

Eine Beispielausgabe aus dem lokalen Test des Forschers lautet: [health] PHP 8.4.26 confirmed [heap] strict Zend base 0x78113e800000 [code] strict zval_ptr_dtor 0x615b1f512930 {"stage":"final","execution_proof_verified":true} Der veröffentlichte PoC benötigt Python 3.11 oder neuer und keine Abhängigkeiten von Drittanbietern. CVE/Sicherheitslücke Cyber Security News PHP 2 min.

Der Forscher mit dem GitHub-Namen KillaBoi hat den Exploit (ein Stück Code, das aus einem Fehler einen Zugang macht) in einem öffentlichen GitHub-Repository veröffentlicht und einen Angriff auf PHP-Version 8.4.26 beschrieben. Die Demonstration folgt auf die Offenlegung zweier kritischer PHP-Schwachstellen, CVE-2026-109618 (die öffentliche Katalognummer einer bestimmten Softwareschwachstelle) und CVE-2026-109619, die gemeinsam als PHP2Shell bekannt sind.

Beide Schwachstellen erhalten einen CVSS-v4.0-Wert von 9.2 und können unter verwundbaren Bedingungen eine nicht authentifizierte Remote-Code-Execution (das Ausführen von Programmen auf einem Rechner von einem anderen Ort aus) ermöglichen. PHP-RCE-Exploit Der Exploit zielt speziell auf die Verarbeitung des Upload-Fortschritts von Sessions in PHP und auf die Speicherverwaltung ab.

Laut der Dokumentation des Forschers zwingt eine speziell gestaltete multipart/form-data-Anfrage PHP dazu, deutlich mehr Speicher zu reservieren, als die tatsächliche Größe der Anfrage beträgt. Der Angriff verwendet tief verschachtelte Formularfeldnamen, um das konfigurierte Speicherlimit von PHP von 128 MiB auszuschöpfen, wodurch möglicherweise veraltete sitzungsbezogene Daten in einem wiederverwendbaren Worker-Prozess zurückbleiben.

Der Forscher konstruiert eine gefälschte PHP-HashTable, die einen manipulierten Destruktor-Callback enthält.