ghxstsec/php2shell-pocCVE-2026-109618용 Python 익스플로잇: PHP session.upload_progress 힙 손상 취약점을 악용하여 zend_call_function을 덮어쓰고 원격 명령 실행을 달성합니다.
██████╗ ██╗ ██╗██████╗ ██████╗ ███████╗██╗ ██╗███████╗██╗ ██╗ ██╔══██╗ ██║ ██║██╔══██╗╚════██╗██╔════╝██║ ██║██╔════╝██║ ██║ ██████╔╝ ███████║██████╔╝ █████╔╝███████╗███████║█████╗ ██║ ██║ ██╔═══╝ ██╔══██║██╔═══╝ ██╔═══╝ ╚════██║██╔══██║██╔══╝ ██║ ██║ ██║ ██║ ██║██║ ███████╗███████║██║ ██║███████╗███████╗███████╗ ╚═╝ ╚═╝ ╚═╝╚═╝ ╚══════╝╚══════╝╚═╝ ╚═╝╚══════╝╚══════╝╚══════╝
PHP 세션 업로드 진행률 원격 코드 실행 익스플로잇 (CVE-2026-109618)
CVE-2026-109618은 세션(session.upload_progress)을 통한 파일 업로드 진행률 추적과 관련된 PHP 엔진의 치명적인 메모리 손상 및 로직 취약점입니다.
이 결함은 요청의 첫 번째 단계(FILE_START)에서 외부 포인터 post_bytes_processed가 캐시되는 방식에 있으며, 이후 업로드 이벤트에서 제대로 갱신되지 않습니다. 경쟁 조건(race condition), Hash 트리의 파괴적 해제(HashTable.pDestructor = zval_ptr_dtor), 그리고 패딩된 구조체(t[] 팩형 자연 테이블)를 이용한 제어된 힙 스프레이를 결합함으로써, 내부 엔진 함수 포인터(예: zend_call_function)를 덮어써 실행 흐름을 임의 명령과 함께 system()으로 리다이렉트할 수 있습니다.
이 도구는 콘솔 인터페이스, 배너, 대화형 패널을 렌더링하기 위해 rich 라이브러리가 필요합니다.
git clone [https://github.com/Ghxstsec/php2shell-poc.git](https://github.com/Ghxstsec/php2shell-poc.git)
cd php2shell-poc
필수 종속성 설치
pip install -r requirements.txt
(또는 간단히: pip install rich)
🚀 사용법 및 예제
대상 시스템에 맞는 적절한 매개변수와 함께 스크립트를 실행하세요:
python3 php2shell.py -u "[https://target-domain.com/path/index.php](https://target-domain.com/path/index.php)" -c "uname -a; id"
명령줄 옵션 매개변수 설명 기본값 -u, --url 취약한 PHP 엔드포인트의 전체 URL 필수 -c, --command 운영 체제에서 실행할 명령 uname -a; id; echo JACKALPOC --sid 사용자 지정 세션 식별자(PHPSESSID) a1b2c3d4e5f6a7b8c9d0e1f2a3 --stall 지연 시간(초) 1.35 --dtor 유출된 zval_ptr_dtor의 메모리 주소(16진수/정수) 0 --call zend_call_function에 대한 명시적 메모리 주소 오프셋을 통해 계산됨 --dry 시뮬레이션 모드: 바이너리 페이로드를 생성하여 디스크에 저장 False 🛠️ 기술 세부 정보
힙 스프레이: 149개 요소로 구성된 블록(320바이트 빈을 가진 패킹된 자연 테이블)을 활용하여 해제된 메모리 블록이 재사용되도록 보장합니다.
SAPI 지원: CGI/FastCGI 아키텍처 및 호환 프런트엔드 서버(예: LiteSpeed LSAPI / Apache / Nginx)에서 평가되는 환경을 위해 설계되었습니다.
드라이 런: --dry 플래그를 사용하여 포렌식 분석 또는 디버깅을 위해 생성된 멀티파트 페이로드의 정확한 바이트 스트림을 덤프할 수 있습니다.
🛠️ 기술 세부 정보
영향을 받는 버전: PHP 5.4부터 PHP 8.x까지(PHP 유지관리자가 8.2, 8.3, 8.4, 8.5용으로 배포한 패치).
힙 스프레이: 149개 요소로 구성된 블록(320바이트 빈을 가진 패킹된 자연 테이블)을 활용하여 해제된 메모리 블록이 재사용되도록 보장합니다.
SAPI 지원: CGI/FastCGI 아키텍처 및 호환 프런트엔드 서버(예: LiteSpeed LSAPI / Apache / Nginx)에서 평가되는 환경을 위해 설계되었습니다.
드라이 런: --dry 플래그를 사용하여 포렌식 분석 또는 디버깅을 위해 생성된 멀티파트 페이로드의 정확한 바이트 스트림을 덤프할 수 있습니다.
📦 requirements.txt 파일
rich>=13.0.0
urllib3>=1.26.0
⚠️ 법적 고지 (면책 조항)
이 소프트웨어는 오직 교육 목적, 보안 연구, 그리고 승인된 감사 용도(Pentesting)를 위해 독점적으로 제작되었습니다.저자(Ghxstsec)는 승인되지 않은 시스템에서 이 스크립트를 부적절하게 사용함으로써 발생하는 오용이나 손해에 대해 어떠한 책임도 지지 않습니다.