CVE-2019-9082

高公開済み

ThinkPHP リモートコード実行の脆弱性

公開済み: 2019/02/24
更新済み: 2025/12/09
CNA の割り当て: mitre
観察された証拠: 2019/03/04

プライマリ CVSS

8.8/ 10高

エクスプロイトに戻る

CVE-2019-9082

高公開済み

ThinkPHP リモートコード実行の脆弱性

公開済み: 2019/02/24
更新済み: 2025/12/09
CNA の割り当て: mitre
観察された証拠: 2019/03/04

プライマリ CVSS

8.8/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

EPSS 確率推定

97.4%

高 · 今後 30 日間

パーセンタイル: 99.9%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

CISA が悪用されたことが判明

この CVE は、CISA の既知の悪用された脆弱性カタログに掲載されています。

概要

3.2.4 より前の ThinkPHP（Open Source BMS v1.1.1 およびその他の製品で使用）は、public//?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]= に続けてコマンドを指定することで、リモートコマンド実行を許可します。

ソース

2

zzzphp CMS 1.6.1 - Cross-Site Request Forgeryエクスプロイト
Yang Chenglong · php · 2019/03/04
ThinkPHP - Multiple PHP Injection RCEs (Metasploit)エクスプロイト
Metasploit · linux · 2020/04/16

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。