[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"$f392rbjtiu1p72":3},{"code":4,"message":5,"data":6,"timestamp":39},10000,"success",{"full_name":7,"position":8,"description":9,"language":10,"stars":11,"forks":12,"stars_gained":13,"age_days":8,"hn_threads":14,"one_liner":15,"summary_md":16,"topic":17,"github_topics":20,"license":35,"homepage":36,"updated_at":37,"history":38},"ikow\u002Fphp2shell-poc",3,"CVE-2026-109618\u002F109619 — 5 RCE chains + detection rules (Suricata, Sigma, ModSecurity). PHP session.upload_progress pre-auth exploit research.","Python",1754,608,474,[],"为几乎所有默认 PHP 部署都受影响的两个高危 pre-auth RCE 漏洞，提供利用代码、检测规则和验证实验环境。","## 解决什么问题\n\n一个横跨 14 年、影响几乎全部默认 PHP 安装的漏洞，对防守方来说最难的不是复现，而是判断自己的环境到底暴不暴露、该拦什么流量。这个仓库围绕 `session.upload_progress` 和 Zend 引擎 OOM 处理，给出五条 RCE 链、对应的验证脚本，以及 Suricata、Sigma、ModSecurity、OpenResty 的现成规则，让你能在补丁窗口内先做验证再做拦截。\n\n## 有什么不同\n\n常见的 PHP 漏洞仓库往往只给一个 PoC，复现完就结束。这里的区别是把利用代码、验证脚本、多 SAPI 的实验环境（FPM、nginx、Apache mod_php）和多种 WAF\u002FIDS 规则放在同一个树里，并且按前置条件给每条链分级——从“应用存在 LFI 入口”到“任意端点即可”，这正是防守方分级处置时需要的粒度。需要注意，五条链中包括那条零依赖链在内的两条被放在付费 Substack 订阅后面，公开仓库本身是不完整披露。\n\n## 适合谁\n\n适合安全工程师、有书面授权的渗透测试人员，以及运行 PHP-FPM 或 mod_php、需要立刻确认暴露面并上线 WAF\u002FIDS 签名的运维人员。不适合只想修自己业务代码的应用开发者——对他们有用的结论只有一行 INI 配置和升级 PHP。使用前需要熟悉 Docker、Python 3，并愿意读 PHP 内部实现。\n\n## 上手成本\n\n驱动脚本依赖 Python，Chain B 需要 PHP，实验环境用 Docker Compose。代码是 MIT 协议，但最严重的两条链（D、E）需要付费，所谓“完整覆盖”并不免费。README 偏薄：只给了 CVE 编号、GHSA 链接和补丁 commit，没有底层分析，完整分析在站外。文中数据应当在实验环境里自行验证，而不是直接采信。规则集是快照，实际部署时需要按自己的上传流量调参以减少误报。\n\n## 点评\n\n仓库三天内从零涨到约 1750 star，这是漏洞披露带来的发布式爆发，而不是被社区长期验证过的项目。没有 Hacker News 讨论帖，也没上过 Trending 日榜，信号只有一波增长加一个付费引流漏斗。公开的几条链和检测规则在补丁窗口内对防守方确实有用；被付费墙挡住的零依赖链则削弱了它作为参考资料的价值。可以用它推动补丁和 WAF 上线，但不要把它当作该漏洞的唯一信息源。",{"slug":18,"name":19},"security","安全",[21,22,23,24,25,26,27,28,29,30,31,32,33,34],"cve-2026-109618","cve-2026-109619","detection-rules","exploit","php-exploit","php-security","php2shell","poc","rce","session-upload-progress","suricata-rules","vulnerability-research","waf-rules","wordpress-security","MIT",null,"2026-10-24T21:06:32Z",[],1792890696]