CVE-2026-109619
RCE via estado global obsoleto
- Publicado
- 21 de out. de 2026
- Atualizado
- 22 de out. de 2026
- Atribuindo CNA
- php
- Evidência observada
- 21 de out. de 2026
CVSS primário
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XResumo
O PHP possui vários estados globais que apontam temporariamente para a memória da requisição. Em alguns cenários, o estado global pode não ser redefinido corretamente, ou pode ser repovoado após ser redefinido. O estado global pode então referenciar a memória da requisição mesmo depois de ela ter sido liberada. Requisições subsequentes podem ler ou ramificar com base nesse estado obsoleto antes que ele seja totalmente inicializado. Múltiplas estratégias podem desencadear essa condição e produzir execução remota de código (RCE).
Fontes
PHP CVE-2026-109618/109619 — RCE não autenticado autónomo em PHP 8.5.11 de origem (divulgação de memória in-band PS(id)→cookie + cadeia UAF), escadas de controlo total, controlo negativo de versão corrigida em 8.5.12
- php2shell-scannerScanner
Scanner de alta fidelidade para php2shell (CVE-2026-109618 e CVE-2026-109619)
- php-rceExploit
Exploits para CVE-2026-109618 / CVE-2026-109619 para obter RCE em alvos PHP
- php2shell-scannerScanner
Scanner não destrutivo para CVE-2026-109618 / CVE-2026-109619 (RCE no núcleo do PHP). Reconhecimento de subdomínios via crt.sh + subfinder, banner grabbing robusto, detecção baseada em versão.
CVE-2026-109618/109619 Pesquisa de Exploração do session.upload_progress do PHP — POC e Análise
- php-rceExploit
Exploits para CVE-2026-109618 / CVE-2026-109619 para obter RCE em alvos PHP
- CVE-2026-109618Informativo
Aviso técnico sobre as falhas de RCE PHP2Shell (CVE-2026-109618, CVE-2026-109619), abrangendo causa raiz, vetores de exploração, verificações de deteção e orientações de mitigação em PHP.
- CVE-2026-109618-109619-auditPesquisa
Auditoria de CVE-2026-109618 / CVE-2026-109619: envenenamento de sessão até execução de comandos reproduzido; pré-condição de OOM do BGCTX reproduzida; UAF de array de progresso alegado não reproduzido em builds padrão.
Prova de conceito (PoC) de exploit para php2shell (CVE-2026-109618 / CVE-2026-109619), demonstrando execução remota de código em ambientes PHP vulneráveis. Apenas para fins de pesquisa de segurança e educacionais.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.