php2shell — CVE-2026-109618 / CVE-2026-109619 Research

Unabhängige Sicherheitsforschung zu den kritischen Schwachstellen in PHP session.upload_progress (CVSS v4.0 9.2).

Autor: Qi Deng (@ikow)
Datum: 2026-10-21
Vollständige Analyse: qideng.substack.com

Überblick

Zwei kritische Pre-Auth-RCE-Schwachstellen im session.upload_progress-Handler des PHP-Kerns, die PHP 5.4.0 bis 8.5.x betreffen. Dieses Repository enthält Verifikations-POCs und eine Lab-Umgebung für autorisierte Sicherheitstests.

Verifizierte Angriffsketten

Kette	Typ	Bedingungen	Verifiziert
Session-Datei-Injection + LFI	Logikfehler	upload_progress=On (Standard) + App-LFI	✅ RCE
var_destroy UAF → Handler-Überschreibung	Speicherkorruption	unserialize() + /proc/self/mem	✅ ASAN + RCE
Handler-Mismatch → __destruct	Deserialisierung	Verzeichnisübergreifender Handler-Mismatch + POP-Gadget	✅ RCE

Zentrale Erkenntnisse

1. Session-Fixation über den POST-Body umgeht session.use_only_cookies (PR #22113)
2. Unvalidierter Dateiname in upload_progress wird ungefiltert in Session-Dateien gespeichert
3. var_destroy __destruct-Reentry-UAF — durch ASAN bestätigter Heap-Use-After-Free
4. PS(serializer) wird in RSHUTDOWN nicht zurückgesetzt — anforderungsübergreifendes Serializer-Leak in FPM
5. __destruct wird bei Decode-FEHLER ausgelöst — Objekt-Injection über Handler-Mismatch + nachfolgende Daten

Repository-Struktur

poc/
  verify_session_injection.py   — Verify filename injection into session files
  verify_uaf_asan.php           — Trigger ASAN heap-use-after-free (var_destroy)
  verify_handler_mismatch.py    — Verify handler mismatch → object deserialization
lab/
  docker-compose.yml            — PHP 8.2.34 FPM + nginx lab environment
  Dockerfile                    — Vulnerable PHP build
  php.ini                       — Lab configuration
  setup.sh                      — One-click lab setup
docs/
  ANALYSIS.md                   — Full technical analysis

Schnellstart

# Start the lab
cd lab && ./setup.sh

# Verify session injection
python3 poc/verify_session_injection.py --target http://127.0.0.1:18080

# Verify UAF (requires ASAN build)
docker exec php-asan-lab php poc/verify_uaf_asan.php

# Verify handler mismatch
python3 poc/verify_handler_mismatch.py --target http://127.0.0.1:18080

Betroffene Versionen

• PHP 5.4.0 — 8.5.11 (alle Versionen mit session.upload_progress)
• Behoben in: 8.2.35, 8.3.36, 8.4.27, 8.5.12 (geplant für 2026-10-21)
• PHP 5.x, 7.x, 8.0, 8.1: End-of-Life, kein offizieller Fix

Gegenmaßnahmen

; Immediate mitigation (does NOT fix all attack paths)
session.upload_progress.enabled = Off
session.use_only_cookies = On

Haftungsausschluss

Diese Forschung dient ausschließlich autorisierten Sicherheitstests und Bildungszwecken. Nicht gegen Systeme einsetzen, die Sie nicht besitzen oder für deren Test Sie keine ausdrückliche Genehmigung haben.

Lizenz

MIT