ZONE.CI 全球网

本文披露CVE-2026-109618与CVE-2026-109619两个PHP漏洞的POC与EXP，涉及会话处理程序不匹配导致的对象注入及PHPOOM内存破坏触发RCE。影响资产约49.9万个，提供FOFA搜索语法、检测项目及两个验证脚本，强调临时修复和WAF不可靠，建议更新版本。

通报了四起高危漏洞和一起供应链投毒事件，包括PHP预认证远程代码执行、GitLab免认证远程代码执行、LiteLLM供应链投毒和Node.js多漏洞安全更新，并提供了修复方案和处置要求。

PHP官方修复两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分9.2，源于session上传进度处理路径的堆释放后重用，无需认证即可利用，已发现在野攻击。影响PHP8.2.35以下等多个版本，建议升级至修复版本，临时缓解可关闭session.upload\\_progress.enabled并加强监控。

天融信阿尔法实验室发布PHP远程代码执行漏洞CVE-2026-109618和CVE-2026-109619（PHP2Shell）风险提示，两漏洞CVSSv4.0评分均为9.2，已被在野利用，影响PHP5及之后所有版本。官方已发布修复版本，建议用户尽快升级并重启服务，同时可采取收敛攻击面、部署WAF、关闭session.upload\\_progress.enabled等临时缓解措施。

本文复现CVE-2026-109618PHPCore远程代码执行漏洞，成因是OOM导致请求状态未完整初始化即退出，后续清理流程读取无效状态造成内存破坏。影响PHP8.2至8.5多个分支，官方已发布修复版本。建议升级至修复版本并重启服务，临时可设置memory\\_limit为-1缓解，同时限制multipart请求体积并监控异常退出。

PHP2Shell漏洞（CVE-2026-109618与CVE-2026-109619）是PHP引擎层UAF组合漏洞，影响PHP5.4至8.5.11几乎所有版本，CVSSv4.0评分9.2，补丁公开前已在野利用。漏洞位于应用代码执行之前，纯HelloWorld应用也可被利用，WordPress等主流CMS均受影响。攻击路径含RCE与进程内存泄露，泄露性质接近Heartbleed。应急建议：优先处理mod_php环境，升级后必须重启worker进程，轮换可能泄露的凭据，临时缓解措施包括关闭session.u

本文分析php引擎两个UAF漏洞CVE-2026-109618与CVE-2026-109619，影响php5.4.0至8.5.11所有版本，修复版本为8.2.35/8.3.36/8.4.27/8.5.12。618利用session.upload_progress与LFI实现RCE，619通过unserialize的var_destroyUAF触发POP链。建议升级至修复版本，老版本无补丁需迁移或隔离。

PHP内核存在两个严重远程代码执行漏洞（CVE-2026-109618/CVE-2026-109619），CVSS评分9.2，影响PHP8.1至8.5多个版本。漏洞源于OOM处理内存破坏及残留全局状态导致UAF，攻击者无需认证即可触发，但完整利用依赖特定SAPI、堆布局控制及ASLR处理。补丁发布前细节泄露，已监测到大量利用尝试。建议立即升级至安全版本并采取临时缓解措施。

php官方于2026年10月21日发布紧急安全更新，修复两枚CVSSv4.0均为9.2的未认证远程代码执行漏洞，合称php2shell，影响php8.2至8.5多个版本。攻击链可导致未认证RCE及内存敏感数据泄露。唯一完整修复是升级并重启所有phpworker，临时缓解措施包括设置memory_limit=-1、降低post_max\\_size等。建议立即盘点运行时、升级、重启并排查入侵迹象。

本文深入剖析了PHP核弹级漏洞CVE-2026-109619的原理，该漏洞利用session.upload_progress在请求初始化前提前初始化session的机制，结合内存管理缺陷制造UAF，通过精心构造的multipart请求实现远程代码执行。攻击无需认证，早于应用代码执行，默认配置即可触发。文章还提到AI在发现此类复杂漏洞中的关键作用，并给出了临时缓解措施如关闭upload_progress或设置max\\_requests=1。

本文复现了PHP核心远程代码执行漏洞CVE-2026-109618与109619，影响PHP多个版本，CVSS评分9.2。漏洞源于session.upload_progress在rinit前解析multipart，导致OOM后内存损坏及跨请求状态污染，攻击者无需认证即可在Apachemod_php下实现完整RCE。官方修复版本为8.2.35/8.3.36/8.4.27/8.5.12，建议立即升级。

本文深入解析了PHP核弹级漏洞CVE-2026-109619的原理，该漏洞利用session.upload_progress在请求初始化前提前初始化session的机制，结合内存管理缺陷制造UAF，通过精心构造的multipart请求实现RCE。攻击无需认证，早于应用代码执行，影响广泛。建议升级PHP或关闭session.upload_progress.enabled，并考虑设置pm.max\\_requests=1缓解风险。

php内核爆出两个高危远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，代号php2shell，影响php5.4至8.5绝大多数版本，攻击者可通过特制multipart请求在脚本执行前触发漏洞，实现RCE。官方补丁未发布，建议临时关闭session.upload\\_progress.enabled，隔离EOL版本，升级至修复版本并排查日志。

PHP核心组件存在两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分9.2，影响PHP5.4至8.5绝大多数版本。攻击者可通过特制HTTPPOST请求在PHP脚本执行前触发内核缺陷，以PHP-FPM或Web进程权限执行任意系统命令，导致服务器失陷、数据泄露及横向渗透。建议关注官方安全更新及时升级，并采取临时缓解措施降低风险。

php内核爆出两个高危远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，代号php2shell，影响php5.4至8.5绝大多数版本，攻击者可通过特制multipart请求在脚本执行前触发漏洞，实现RCE。官方补丁未发布，建议临时关闭session.upload\\_progress.enabled，隔离EOL版本，升级至修复版本并排查日志。

PHP核心组件存在两个严重远程代码执行漏洞CVE-2026-109618和CVE-2026-109619，CVSS评分9.2，影响PHP5.4至8.5绝大多数版本。攻击者可通过特制HTTPPOST请求在PHP脚本执行前触发内核缺陷，以PHP-FPM或Web进程权限执行任意系统命令，导致服务器失陷、数据泄露及横向渗透。建议关注官方安全更新及时升级，并采取临时缓解措施降低风险。

文章总结： ModSecurity3.0.15及以下版本存在两个可绕过WAF规则的漏洞。CVE-2026-52761因32位系统指针计算错误导致转换异常，建议脱

文章总结： ModSecurity3.0.15及以下版本存在两个可绕过WAF规则的漏洞。CVE-2026-52761因32位系统指针计算错误导致转换异常，建议脱

文章总结： 本文记录IETF125会议Dispatch工作组讨论内容，重点分析四个技术草案：DonauURI方案通过数字签名实现捐款税务证明的隐私保护；Cons

文章总结： 本文分析了Spring/Tomcat在处理multipart表单时的解析逻辑漏洞，揭示了通过构造畸形Content-Type和Content-Dis

文章总结： CVE-2026-42854是arduino-esp32WebServer库中的严重VLA栈溢出漏洞，CVSS评分9.8，影响超10亿台IoT设备。

文章总结： CVE-2026-42854是arduino-esp32WebServer库中的严重VLA栈溢出漏洞，CVSS评分9.8，影响超10亿台IoT设备。

文章总结： CVE-2026-42854是arduino-esp32库中一个CVSS9.8分的严重VLA栈溢出漏洞，影响超10亿台IoT设备。攻击者通过恶意HT

文章总结： 2026年3月发表于ACSAC的Waffled研究揭示，主流WAF因与后端应用存在HTTP协议解析差异而面临系统性绕过风险。该方法不混淆Payloa

文章总结： 2026年3月发表于ACSAC的Waffled研究揭示，主流WAF因与后端应用存在HTTP协议解析差异而面临系统性绕过风险。该方法不混淆Payloa