---

📌 概述

PHP2Shell 指的是在 PHP 核心引擎中发现的一对零日/严重漏洞（CVE-2026-109618 和 CVE-2026-109619）。这些漏洞允许未经身份验证的攻击者在运行存在漏洞配置的 PHP 服务器上执行任意代码（RCE）。

   ┌───────────────────────────────┐
   │     Unauthenticated Attacker  │
   └───────────────┬───────────────┘
                   │
                   ▼ 🟣 Exploit Payload
   ┌───────────────────────────────┐
   │   PHP Engine Core Processing  │
   │ (Stream Filters / PHAR Arch)  │
   └───────────────┬───────────────┘
                   │
                   ▼ ⚡
   ┌───────────────────────────────┐
   │   Arbitrary Shell Execution   │
   └───────────────────────────────┘

⚡ 漏洞详情

参数	详情
漏洞	CVE-2026-109618 和 CVE-2026-109619
CVSS v4.0 评分	9.2（严重）
向量	CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
影响	未认证远程代码执行（RCE）
受影响软件	PHP 5.x、PHP 7.x、PHP 8.0、8.1、8.2、8.3、8.4

🟣 威胁分析

1. CVE-2026-109618：流过滤器堆内存破坏

• 机制： 在 PHP 流过滤器内部缓冲区处理过程中触发的内存安全漏洞。
• 利用向量： 操纵流参数使攻击者能够控制内存地址并实现代码执行。

2. CVE-2026-109619：PHAR 归档处理逻辑缺陷

• 机制： PHP 归档（.phar）包装器的解析与反序列化逻辑存在缺陷。
• 利用向量： 攻击者控制的头部输入导致任意函数调用。

---

📸 演示

---

🛡️ 缓解与修复

1. 升级 PHP 软件包

最有效的修复方法是立即将服务器更新至最新的已修补 PHP 二进制文件：

# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade php8.3-cli php8.3-fpm

# RHEL / CentOS / Rocky Linux
sudo dnf update php

2. 紧急变通方案（适用于 EOL 环境）

如果你的应用依赖于生命周期终止（EOL）版本（例如 PHP 7.x 或 8.0），且这些版本无法获得官方安全补丁：

• 🟣 禁用流过滤器 / 危险函数： 编辑你的 php.ini 文件：

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,phar

• 🟣 WAF / 网络过滤： 实施严格的 Web 应用防火墙（WAF）规则，丢弃包含序列化流协议（php://filter/、phar://）的请求。
• 🟣 网络隔离： 将遗留服务器隔离在严格的内部网络/VPN 之后。

---

🔍 检测与验证

要验证运行 PHP 的服务器是否可能存在漏洞：

# Check running PHP version
php -v

# Check loaded modules and PHAR settings
php -i | grep -i "phar"

🤝 贡献

欢迎贡献、威胁情报更新和检测规则（YARA / Sigma）！

1. Fork 本仓库
2. 创建功能分支（git checkout -b feature/sigma-rule）
3. 提交你的更改（git commit -m 'Add Sigma detection rule'）
4. 推送分支（git push origin feature/sigma-rule）
5. 发起 Pull Request

---

📜 免责声明

本仓库仅为教育、防御和研究目的而创建。维护者不对使用本文所提供信息进行的滥用或非法活动承担责任。