php2shell — Recherche CVE-2026-109618 / CVE-2026-109619

Recherche de sécurité indépendante sur les vulnérabilités critiques PHP session.upload_progress (CVSS v4.0 9.2).

Auteur : Qi Deng (@ikow)
Date : 2026-10-21
Analyse complète : qideng.substack.com

Aperçu

Deux vulnérabilités critiques de RCE pré-authentification dans le gestionnaire session.upload_progress du cœur de PHP, affectant PHP 5.4.0 jusqu'à 8.5.x. Ce dépôt contient des POC de vérification et une configuration de laboratoire pour des tests de sécurité autorisés.

Chaînes d'attaque vérifiées

Chaîne	Type	Conditions	Vérifié
Injection de fichier de session + LFI	Bug logique	upload_progress=On (par défaut) + LFI de l'application	✅ RCE
UAF var_destroy → Écrasement de gestionnaire	Corruption mémoire	unserialize() + /proc/self/mem	✅ ASAN + RCE
Incohérence de gestionnaire → __destruct	Désérialisation	Incohérence de gestionnaire inter-répertoires + gadget POP	✅ RCE

Principales découvertes

1. Fixation de session via le corps POST contourne session.use_only_cookies (PR #22113)
2. Nom de fichier non validé dans upload_progress stocké brut dans les fichiers de session
3. UAF de réentrance __destruct de var_destroy — heap-use-after-free confirmé par ASAN
4. PS(serializer) non réinitialisé dans RSHUTDOWN — fuite de sérialiseur inter-requêtes dans FPM
5. __destruct déclenché en cas d'ÉCHEC de décodage — injection d'objet via incohérence de gestionnaire + données de fin

Structure du dépôt

poc/
  verify_session_injection.py   — Verify filename injection into session files
  verify_uaf_asan.php           — Trigger ASAN heap-use-after-free (var_destroy)
  verify_handler_mismatch.py    — Verify handler mismatch → object deserialization
lab/
  docker-compose.yml            — PHP 8.2.34 FPM + nginx lab environment
  Dockerfile                    — Vulnerable PHP build
  php.ini                       — Lab configuration
  setup.sh                      — One-click lab setup
docs/
  ANALYSIS.md                   — Full technical analysis

Démarrage rapide

# Start the lab
cd lab && ./setup.sh

# Verify session injection
python3 poc/verify_session_injection.py --target http://127.0.0.1:18080

# Verify UAF (requires ASAN build)
docker exec php-asan-lab php poc/verify_uaf_asan.php

# Verify handler mismatch
python3 poc/verify_handler_mismatch.py --target http://127.0.0.1:18080

Versions affectées

• PHP 5.4.0 — 8.5.11 (toutes les versions avec session.upload_progress)
• Corrigé dans : 8.2.35, 8.3.36, 8.4.27, 8.5.12 (prévu le 2026-10-21)
• PHP 5.x, 7.x, 8.0, 8.1 : fin de vie, aucun correctif officiel

Atténuation

; Immediate mitigation (does NOT fix all attack paths)
session.upload_progress.enabled = Off
session.use_only_cookies = On

Avertissement

Cette recherche est destinée uniquement à des tests de sécurité autorisés et à des fins éducatives. Ne l'utilisez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous ne disposez pas d'une autorisation explicite de test.

Licence

MIT