黑客公开PHP远程代码执行漏洞的概念验证利用代码

事件经过

这一概念验证（PoC）利用代码展示了精心构造的HTTP请求如何触发内存损坏、泄露PHP内部地址，并在存在漏洞的服务器上执行命令。

研究人员在本地测试中的示例输出包括：[health] PHP 8.4.26 confirmed [heap] strict Zend base 0x78113e800000 [code] strict zval_ptr_dtor 0x615b1f512930 {"stage":"final","execution_proof_verified":true}。已发布的PoC需要Python 3.11或更高版本，且无需任何第三方依赖。CVE/漏洞 Cyber Security News PHP 2分钟。

使用GitHub用户名KillaBoi的研究人员将该利用代码（即一段能将漏洞转化为入侵途径的代码）发布在公开的GitHub仓库中，并详细说明了针对PHP 8.4.26版本的攻击方式。此次演示紧随两个严重PHP漏洞的披露，即CVE-2026-109618（特定软件漏洞的公开编号）和CVE-2026-109619，二者合称PHP2Shell。

两个漏洞的CVSS v4.0评分均为9.2，在存在漏洞的条件下，可能允许未经身份验证的远程代码执行（即从远端在机器上运行程序）。PHP RCE利用代码专门针对PHP的会话上传进度处理和内存管理。

据研究人员的文档说明，精心构造的multipart/form-data请求会迫使PHP分配远超请求实际大小的内存。攻击利用深度嵌套的表单字段名耗尽PHP配置的128 MiB内存上限，可能使可复用的工作进程中残留过期的会话相关数据。

研究人员构造了一个伪造的PHP HashTable，其中包含被篡改的析构回调函数。