php2shell — Investigación de CVE-2026-109618 / CVE-2026-109619

Investigación de seguridad independiente sobre las vulnerabilidades críticas de session.upload_progress en PHP (CVSS v4.0 9.2).

Autor: Qi Deng (@ikow)
Fecha: 2026-10-21
Análisis completo: qideng.substack.com

Descripción general

Dos vulnerabilidades críticas de RCE previas a la autenticación en el manejador session.upload_progress del núcleo de PHP, que afectan a PHP 5.4.0 hasta 8.5.x. Este repositorio contiene POCs de verificación y la configuración del laboratorio para pruebas de seguridad autorizadas.

Cadenas de ataque verificadas

Cadena	Tipo	Condiciones	Verificado
Inyección de archivo de sesión + LFI	Error lógico	upload_progress=On (predeterminado) + LFI en la aplicación	✅ RCE
UAF en var_destroy → Sobrescritura del manejador	Corrupción de memoria	unserialize() + /proc/self/mem	✅ ASAN + RCE
Discrepancia de manejador → __destruct	Deserialización	Discrepancia de manejador entre directorios + gadget POP	✅ RCE

Hallazgos clave

1. Fijación de sesión mediante el cuerpo POST que omite session.use_only_cookies (PR #22113)
2. Nombre de archivo no validado en upload_progress almacenado sin procesar en los archivos de sesión
3. UAF por reentrada de __destruct en var_destroy — heap-use-after-free confirmado por ASAN
4. PS(serializer) no se restablece en RSHUTDOWN — fuga del serializador entre peticiones en FPM
5. __destruct se ejecuta ante un FALLO de decodificación — inyección de objetos mediante discrepancia de manejador + datos finales

Estructura del repositorio

poc/
  verify_session_injection.py   — Verify filename injection into session files
  verify_uaf_asan.php           — Trigger ASAN heap-use-after-free (var_destroy)
  verify_handler_mismatch.py    — Verify handler mismatch → object deserialization
lab/
  docker-compose.yml            — PHP 8.2.34 FPM + nginx lab environment
  Dockerfile                    — Vulnerable PHP build
  php.ini                       — Lab configuration
  setup.sh                      — One-click lab setup
docs/
  ANALYSIS.md                   — Full technical analysis

Inicio rápido

# Start the lab
cd lab && ./setup.sh

# Verify session injection
python3 poc/verify_session_injection.py --target http://127.0.0.1:18080

# Verify UAF (requires ASAN build)
docker exec php-asan-lab php poc/verify_uaf_asan.php

# Verify handler mismatch
python3 poc/verify_handler_mismatch.py --target http://127.0.0.1:18080

Versiones afectadas

• PHP 5.4.0 — 8.5.11 (todas las versiones con session.upload_progress)
• Corregido en: 8.2.35, 8.3.36, 8.4.27, 8.5.12 (programado para 2026-10-21)
• PHP 5.x, 7.x, 8.0, 8.1: fin de vida útil, sin corrección oficial

Mitigación

; Immediate mitigation (does NOT fix all attack paths)
session.upload_progress.enabled = Off
session.use_only_cookies = On

Descargo de responsabilidad

Esta investigación es únicamente para pruebas de seguridad autorizadas y fines educativos. No la utilice contra sistemas que no sean de su propiedad o para los que no tenga autorización explícita de prueba.

Licencia

MIT