Proof-of-Concept (PoC) per php2shell (CVE-2026-109618 / CVE-2026-109619), che dimostra l'esecuzione di codice remoto in ambienti PHP vulnerabili. Solo per ricerca sulla sicurezza e scopi educativi.
Avviso critico (CVSS v4.0: 9.2 - Critico): Il 20 ottobre, i dettagli di due vulnerabilità di Remote Code Execution (RCE) pre-auth nel core di PHP sono trapelati online prima della divulgazione coordinata. Lo sfruttamento consente l'esecuzione arbitraria di comandi direttamente dal web server.
session-upload-progress-counters.patch)php2shell indica due vulnerabilità critiche (CVE-2026-109618 e CVE-2026-109619) che interessano funzionalità del core di PHP. Il vettore principale dimostrato è una use-after-free (UAF) nell'heap nel meccanismo di avanzamento dell'upload di sessione del core di PHP, che porta all'esecuzione arbitraria di codice (zend_call_function / system()).
Il gestore dell'avanzamento dell'upload di PHP (php_session_rfc1867_callback in ext/session/session.c) memorizza due puntatori grezzi zval * a bucket (post_bytes_processed e current_file_bytes_processed) direttamente in strutture HashTable attive.
Durante l'elaborazione della richiesta:
POST multipart attiva il tracciamento dell'avanzamento con i valori di configurazione predefiniti (session.upload_progress.enabled = 1).zend_hash_update() distrugge il precedente albero di dati tramite il distruttore zval_ptr_dtor, liberando il blocco di memoria.zend_fcall_info e zend_internal_function appositamente costruite.zend_call_function(), con conseguente esecuzione arbitraria di comandi di sistema.php-src (incluse le versioni 8.4.4 e 8.2.34).--syms) tra zval_ptr_dtor e zend_call_function per adattarsi ai layout binari specifici delle distribuzioni (ad es. Debian Bookworm, Ubuntu Noble, Ubuntu Jammy).La seguente tabella riassume le versioni PHP interessate da CVE-2026-109618 e CVE-2026-109619, insieme al loro stato di supporto e di patch:
| Ramo PHP | Stato | Versioni interessate | Versione corretta / sicura | Note |
|---|---|---|---|---|
| PHP 8.5 | Supportato (Attivo) | < 8.5.12 | 8.5.12 | Rilascio di sicurezza d'emergenza pubblicato |
| PHP 8.4 | Supportato (Attivo) | < 8.4.27 | 8.4.27 | Rilascio di sicurezza d'emergenza pubblicato |
| PHP 8.3 | Supportato (Attivo) | < 8.3.36 | 8.3.36 | Rilascio di sicurezza d'emergenza pubblicato |
| PHP 8.2 | Supportato (Solo sicurezza) | < 8.2.35 | 8.2.35 | Rilascio di sicurezza d'emergenza pubblicato |
| PHP 8.1 | Fine del ciclo di vita (EOL) | Tutte le versioni 8.1.x | Nessuna patch ufficiale (EOL) | Impostare session.upload_progress.enabled = Off o utilizzare ELS/backport della distribuzione |
| PHP 8.0 | Fine del ciclo di vita (EOL) | Tutte le versioni 8.0.x | Nessuna patch ufficiale (EOL) | Supporto ufficiale terminato; la mitigazione tramite configurazione è obbligatoria |
| PHP 7.x | Fine del ciclo di vita (EOL) | Tutte le versioni 7.0 - 7.4 | Nessuna patch ufficiale (EOL) | La logica principale di ext/session è vulnerabile; mitigazione urgente o aggiornamento necessario |
| PHP 5.x | Fine del ciclo di vita (EOL) | 5.4.0+ (con tracciamento dei progressi RFC1867) | Nessuna patch ufficiale (EOL) | Supporto ufficiale terminato; isolare l'host o disabilitare i progressi di caricamento |
[!WARNING] Le versioni PHP 8.1 e precedenti a fine del ciclo di vita (EOL) non ricevono patch di sicurezza ufficiali dalla PHP Foundation. Per questi ambienti, applicare immediatamente
session.upload_progress.enabled = Offo ricompilare PHP dal codice sorgente utilizzando la patch C fornita.
Lo sfruttamento di php2shell si manifesta tipicamente come processi figli anomali generati direttamente dai processi worker PHP (php-fpm, php-cgi, php-cgi.exe, httpd, apache2).
Monitorare e generare avvisi sui processi worker PHP che eseguono:
/bin/sh, /bin/bash, cmd.exe, powershell.exepython, perlcurl, wget, nc, certutil.exe/dev/tcp/, fsockopen, mkfifowhoami, id, uname -a, ipconfigPer gli ambienti web basati su Linux privi di un agente di rilevamento endpoint, strumenti come il gratuito process-watcher di Florian Roth possono essere eseguiti in modalità osservazione per segnalare in tempo reale la generazione di processi figli insoliti.