php2shell — CVE-2026-109618 / CVE-2026-109619 अनुसंधान

गंभीर PHP session.upload_progress कमज़ोरियों (CVSS v4.0 9.2) पर स्वतंत्र सुरक्षा अनुसंधान।

लेखक: Qi Deng (@ikow)
दिनांक: 2026-10-21
पूर्ण विवरण: qideng.substack.com

अवलोकन

PHP कोर के session.upload_progress हैंडलर में दो गंभीर प्री-ऑथ RCE कमज़ोरियाँ, जो PHP 5.4.0 से 8.5.x तक प्रभावित करती हैं। इस रिपॉज़िटरी में अधिकृत सुरक्षा परीक्षण के लिए सत्यापन POC और लैब सेटअप शामिल हैं।

सत्यापित आक्रमण श्रृंखलाएँ

श्रृंखला	प्रकार	शर्तें	सत्यापित
Session File Injection + LFI	लॉजिक बग	upload_progress=On (डिफ़ॉल्ट) + ऐप LFI	✅ RCE
var_destroy UAF → Handler Overwrite	मेमोरी करप्शन	unserialize() + /proc/self/mem	✅ ASAN + RCE
Handler Mismatch → __destruct	डीसेरियलाइज़ेशन	क्रॉस-डिर हैंडलर मिसमैच + POP गैजेट	✅ RCE

मुख्य निष्कर्ष

1. POST बॉडी के माध्यम से सेशन फिक्सेशन session.use_only_cookies को बायपास करता है (PR #22113)
2. upload_progress में अमान्य फ़ाइलनाम सेशन फ़ाइलों में कच्चा संग्रहीत होता है
3. var_destroy __destruct पुनःप्रवेश UAF — ASAN-पुष्टि किया गया heap-use-after-free
4. RSHUTDOWN में PS(serializer) रीसेट नहीं होता — FPM में क्रॉस-रिक्वेस्ट सीरियलाइज़र लीक
5. __destruct डिकोड विफलता पर सक्रिय होता है — हैंडलर मिसमैच + ट्रेलिंग डेटा के माध्यम से ऑब्जेक्ट इंजेक्शन

रिपॉज़िटरी संरचना

poc/
  verify_session_injection.py   — Verify filename injection into session files
  verify_uaf_asan.php           — Trigger ASAN heap-use-after-free (var_destroy)
  verify_handler_mismatch.py    — Verify handler mismatch → object deserialization
lab/
  docker-compose.yml            — PHP 8.2.34 FPM + nginx lab environment
  Dockerfile                    — Vulnerable PHP build
  php.ini                       — Lab configuration
  setup.sh                      — One-click lab setup
docs/
  ANALYSIS.md                   — Full technical analysis

त्वरित शुरुआत

# Start the lab
cd lab && ./setup.sh

# Verify session injection
python3 poc/verify_session_injection.py --target http://127.0.0.1:18080

# Verify UAF (requires ASAN build)
docker exec php-asan-lab php poc/verify_uaf_asan.php

# Verify handler mismatch
python3 poc/verify_handler_mismatch.py --target http://127.0.0.1:18080

प्रभावित संस्करण

• PHP 5.4.0 — 8.5.11 (session.upload_progress वाले सभी संस्करण)
• इनमें ठीक किया गया: 8.2.35, 8.3.36, 8.4.27, 8.5.12 (निर्धारित 2026-10-21)
• PHP 5.x, 7.x, 8.0, 8.1: जीवनकाल समाप्त, कोई आधिकारिक फ़िक्स नहीं

शमन

; Immediate mitigation (does NOT fix all attack paths)
session.upload_progress.enabled = Off
session.use_only_cookies = On

अस्वीकरण

यह अनुसंधान केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए है। उन सिस्टमों के विरुद्ध इसका उपयोग न करें जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अधिकृतता नहीं है।

लाइसेंस

MIT