php-cve-defensive-audit-kit：针对 CVE-2026-109618 与 CVE-2026-109619 的 PHP 主机防御审计工具
GitHub 上出现 php-cve-defensive-audit-kit，用于对 CVE-2026-109618 和 CVE-2026-109619 相关的临时 PHP 暴露面收敛措施做基线对比测试，并提供 Apache、Nginx、PHP-FPM、Docker 与 Cloudflare 部署示例。
#PHP
Sploitus 利用聚合AI 评分2222 Sploitus 利用聚合同事件AI 评分8585 PHP session.upload_progress 免认证 RCE 漏洞 CVE-2026-109618 利用代码公开
有人公开了 PHP 核心 session.upload_progress 处理中免认证 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 的可用利用脚本 exploit.py 及 Docker 靶场，两个 CVE 的 CVSS v4.0 均为 9.2。
同一件事，精选收录的是《PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4》
Sploitus 利用聚合同事件AI 评分8888 php2shell 公开 CVE-2026-109618 与 CVE-2026-109619 的 PoC 及实验环境
php2shell 项目公开了 PHP 核心两个堆 UAF 漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PoC 利用脚本和 Docker 实验环境，两者 CVSS v4.0 均为 9.2 且无需认证。
同一件事，精选收录的是《PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4》
Sploitus 利用聚合AI 评分5858 php2shell-scanner 发布 CVE-2026-109618 非破坏性检测工具
php2shell-scanner 是针对 CVE-2026-109618 / CVE-2026-109619 的非破坏性验证工具，用于检测 PHP session.upload_progress 文件名注入链的漏洞原语，不在目标上执行代码。
CyberScoop同事件AI 评分8080 PHP 紧急修复两个 CVSS 9.2 的 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
PHP 项目周三发布补丁，修复 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS v4.0 评分 9.2 的远程代码执行漏洞，研究人员将其称为 php2shell。
同一件事，精选收录的是《PHP 将发布带外更新修复两个 CVSS 9.2 的 RCE 漏洞》
Sploitus 利用聚合精选AI 评分8585 PHP CVE-2026-109618/109619 免认证 RCE 的临时缓解配置指南
针对 PHP 计划修复的 CVE-2026-109618 与 CVE-2026-109619（CVSS 9.2，免认证 RCE），该文档给出在官方补丁发布前关闭 session.upload_progress 的临时缓解步骤。
为什么值得看：材料在官方补丁发布前给出针对 PHP 多版本与面板环境的临时缓解操作，可作应急配置参考。
SANS ISC 日记精选AI 评分9090 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4
SANS ISC 将 infoCon 调至 YELLOW，原因是 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 影响面广、CVSS 9.4，且补丁发布前已有早期 PoC 利用。
为什么值得看：PHP 核心漏洞影响所有默认安装，补丁发布前已有 PoC 与 Cloudflare 观测到的利用，站点可先关闭 session.upload_progress.enabled 缓解。
Security Affairs同事件AI 评分7878 PHP 预告修复两个 CVSS v4.0 9.2 的 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619
PHP 安全团队预告将于 2026 年 10 月 21 日 14:00 UTC 发布安全更新，修复两个 CVSS v4.0 评分 9.2 的严重漏洞，编号为 CVE-2026-109618 和 CVE-2026-109619，但尚未公布受影响版本与修复版本。
同一件事，精选收录的是《PHP 将发布带外更新修复两个 CVSS 9.2 的 RCE 漏洞》
Sploitus 利用聚合AI 评分5858 phpIpam CVE-2024-55187 免交互 RCE 的 PoC 与利用链披露
研究人员公开 phpIpam 漏洞 CVE-2024-55187 的利用链与 PoC 视频，CVSS 3.1 评分 9.1，向量为 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H。
Sploitus 利用聚合精选AI 评分7575 ORBITRON 发布 php2shell 响应工具包，针对 PHP 核心 RCE CVE-2026-109618 与 CVE-2026-109619
ORBITRON 发布 php2shell 响应工具包，针对 PHP 核心两个远程代码执行漏洞 CVE-2026-109618 与 CVE-2026-109619，PHP 安全团队对两者均评为 CVSS v4.0 9.2，官方通告计划于 2026-10-21 14:00 UTC 发布。
为什么值得看：在官方通告发布前，这套只读清点脚本与行为检测规则可帮运维先摸清 PHP 暴露面并布控。
Sploitus 利用聚合AI 评分5858 php2shell-watch 发布：检测 CVE-2026-109618 与 CVE-2026-109619 利用痕迹的 PHP-FPM 监控脚本
作者发布 php2shell-watch，一个面向 PHP-FPM 服务器的 cron 定时监控脚本，用于在等待 CVE-2026-109618 与 CVE-2026-109619（php2shell）修复版本期间发现利用痕迹。
Sploitus 利用聚合精选AI 评分8585 php2shell 检测工具发布，针对 PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619 的利用尝试
php2shell-detect 发布一套只读离线检测工具，用于识别针对 PHP 的 session.upload_progress 堆 UAF 漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS v4.0 均为 9.2，影响 PHP 5.4 至 8.5）的利用尝试。
为什么值得看：公开 PoC 与机制分析已流传，这套离线检测工具按请求形态识别利用尝试，可补上仅靠 UA 特征漏掉的场景。
Sploitus 利用聚合AI 评分5858 研究者公开 PHP session.upload_progress UAF 漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PoC 工具
Aung Myat Thu（w01f）发布 Python 3 编写的 PoC 研究工具，针对 PHP session.upload_progress 的两个 use-after-free 变体 CVE-2026-109618 与 CVE-2026-109619，问题源于 multipart 上传进度更新时的过期引用，在受影响条件下内存破坏可能导致进程崩溃或远程代码执行。
Sploitus 利用聚合AI 评分5858 php2shell-lab 公开 CVE-2026-109618 与 CVE-2026-109619 的本地复现实验环境
php2shell-lab 发布 CVE-2026-109618 与 CVE-2026-109619 的本地实验环境，仅限 127.0.0.1 目标，用于演示与修复验证。
Sploitus 利用聚合精选AI 评分7878 php2shell-check 发布检测与修复脚本，覆盖 PHP CVE-2026-109618 与 CVE-2026-109619
php2shell-check 开源了一组 Bash 脚本，用于检查并修复 PHP 核心两个 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS v4.0 9.2）的影响。
为什么值得看：脚本把 PHP 运行时、容器与远程主机的排查和修复串成一套可执行流程，适合在补丁窗口期做资产清点。
Sploitus 利用聚合AI 评分2222 第三方归档冒用 CVE-2026-109618 / CVE-2026-109619 声称 PHP 利用，哈希校验不匹配
一份以 CVE-2026-109618 和 CVE-2026-109619 名义传播的第三方 PHP 包归档被公开检查，下载文件 SHA-256 与来源页面公布值不一致，原因未确定。归档解压后含 13 个文件，其中 3 个 `.debug` 文件为 x86-64 ELF，上游称是 LiteSpeed 调试符号但未经核实；检查未执行任何 Python 程序或利用代码。
Sploitus 利用聚合AI 评分7070 PHP Serializable var_hash UAF 到 RCE 的复现与适配 EXP 公开
作者公开了 PHP unserialize() 中 Serializable 接口 var_hash 释放后使用（UAF）问题的复现与适配版 EXP，并在 Ubuntu 24.04 官方 apt PHP 8.3.6（NTS x86_64）上完成从 UAF 到 RCE 的全流程验证，伪造 Closure 调用 zif_system 执行命令。
Infosecurity Magazine同事件AI 评分7878 PHP 修复 CVE-2026-109618 与 CVE-2026-109619 两个 RCE 漏洞前，漏洞信息提前泄露
PHP 安全团队确认正在为 CVE-2026-109618 和 CVE-2026-109619 准备补丁，计划于 10 月 21 日 2pm GMT 发布，并将两个漏洞的严重等级定为 CVSS 9.2。
同一件事，精选收录的是《PHP 将发布带外更新修复两个 CVSS 9.2 的 RCE 漏洞》
Sploitus 利用聚合同事件AI 评分8080 PHP session.upload_progress 漏洞对 CVE-2026-109618 / CVE-2026-109619 的利用工具包公开
GitHub 上公开了针对 PHP session.upload_progress 漏洞对 CVE-2026-109618 / CVE-2026-109619 的研究工具包，作者称影响 PHP ≥ 5.4 的默认配置，无需认证即可通过任意 multipart-POST 端点触达，厂商评级为 CVSS v4.0 9.2。
同一件事，精选收录的是《PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4》
Sploitus 利用聚合AI 评分3838 phphunt：检测 Apache + PHP 服务器入侵痕迹的只读脚本
开源项目 phphunt 发布两个只读脚本，用于检查 Apache + PHP 服务器是否留有被利用的痕迹。
Sploitus 利用聚合AI 评分5858 PHP2Shell 实验环境公开 CVE-2026-109618 与 CVE-2026-109619 的 PoC
作者 Ahmed Sultan（0x4148）公开 PHP2Shell 实验环境与 PoC 脚本，用于复现 PHP session.upload_progress 中的 Use-After-Free 问题 CVE-2026-109618 与 CVE-2026-109619，测试环境为 PHP 8.4.4 FPM（Debian Bookworm）。
Sploitus 利用聚合AI 评分6060 PHP session.upload_progress UAF 验证包公开，涉及 CVE-2026-109618 与 CVE-2026-109619
研究者公开 php-up-2026 验证包，针对 PHP session.upload_progress 的 UAF 问题，对应编号为 CVE-2026-109618 与 CVE-2026-109619。
Sploitus 利用聚合同事件AI 评分8585 PHP session.upload_progress 漏洞 CVE-2026-109618/109619 的验证 PoC 公开
研究者 Qi Deng 公开了 PHP 核心 session.upload_progress 处理器两个漏洞 CVE-2026-109618 与 CVE-2026-109619 的验证 PoC 和实验环境，影响 PHP 5.4.0 至 8.5.11，CVSS v4.0 评分 9.2。
同一件事，精选收录的是《PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4》
Sploitus 利用聚合AI 评分5858 php2shell-guard 发布针对 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 的防御工具包
php2shell-guard 发布，用于应对 2026 年 10 月 20 日公布的 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS v4.0 均为 9.2），包含一个 bash 脚本和一个 PHP 文件，仅依赖 bash 与 curl。
Tenable 安全博客精选AI 评分8888 PHP 两个严重 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已现早期攻击
PHP 安全团队将于 2026 年 10 月 21 日 14:00 UTC 紧急发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个严重漏洞，二者均被评为 CVSSv4.0 9.2，公开报道称均为远程代码执行。
为什么值得看：汇总了补丁发布前各方的版本推测、暴露面估算与 Cloudflare 的临时 WAF 规则，便于在官方通告前先评估自身风险。
Patchstack WordPress 漏洞库同事件AI 评分9191 PHP 修复 CVE-2026-109618 与 CVE-2026-109619 免认证 RCE 漏洞，已出现利用
PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复 CVE-2026-109618 与 CVE-2026-109619 两个可导致免认证远程代码执行的漏洞，PHP 安全团队对两者评级均为 Critical（CVSS v4.0 9.2）。
同一件事，精选收录的是《PHP 为 PHP2Shell 两个严重 RCE 漏洞发布紧急补丁》
Sploitus 利用聚合AI 评分3434 针对 CVE-2026-109618 的 PHP 资产清点与利用检测工具包（php2shell triage）
在 CVE-2026-109618 与 CVE-2026-109619 仍处于 RESERVED、根因与影响版本均未公布的情况下，php2shell triage 工具包转向 PHP 资产清点与利用检测。
Sploitus 利用聚合AI 评分5858 php2shell-scan 发布：检测 PHP 核心 RCE CVE-2026-109618 与 CVE-2026-109619 的可达性
php2shell-scan 发布，用于检测 PHP 核心 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 的可达性与变更，两个漏洞 CVSS v4.0 评分 9.2，2026-10-20 披露，修复时间为 2026-10-21 14:00 UTC。
Sploitus 利用聚合AI 评分6060 PHP session.upload_progress 堆 UAF（CVE-2026-109618 / CVE-2026-109619）检测规则仓库发布
php-uploadprogress-waf 仓库发布了针对 PHP session.upload_progress 堆 use-after-free 漏洞对（CVE-2026-109618 / CVE-2026-109619）的防御检测规则，仓库只包含检测与缓解内容，不含利用代码。
Sploitus 利用聚合AI 评分2222 审计称 CVE-2026-109618/CVE-2026-109619 的 PHP session.upload_progress UAF 并不存在
针对 CVE-2026-109618 与 CVE-2026-109619 声称的 PHP session.upload_progress 释放后使用（UAF），审计结论是该漏洞在已发布 PHP 中并不存在。
Sploitus 利用聚合AI 评分3030 php2shell-lab：针对 PHP 核心 RCE CVE-2026-109618 与 CVE-2026-109619 的离线分析实验环境
php2shell-lab 是一个离线实验环境，用于安全分析 PHP 核心 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619（代号 PHP2Shell）的不可信 PoC，并将观察结果转化为 YARA / Sigma / Suricata 检测内容。
Sploitus 利用聚合AI 评分2222 php-firing-range：Pi + GLM-5.3 与 Codex + Daybreak Blue 针对 PHP 靶场竞速产出 RCE PoC
一个名为 php-firing-range 的隔离靶场项目用于模型对抗竞速：Pi + GLM-5.3 与 Codex + Daybreak Blue 比拼谁先对预置 PHP 目标产出可用的 RCE PoC，以通过 HTTP 响应外带随机 /CANARY 标志作为成功判据。
Sploitus 利用聚合AI 评分3030 CVE-2019-11043：PHP-FPM 远程代码执行漏洞利用脚本
0th3rs Security Team 公开了 CVE-2019-11043 的利用脚本，针对 7.1.33 以下的 PHP 7.1.x、7.2.24 以下的 7.2.x 和 7.3.11 以下的 7.3.x，已在 PHP 7.2.20/7.3.10 下测试。脚本通过暴力枚举 query 长度与头部字段长度、借助 auto_session 探测漏洞，并污染全部 worker 进程。
Sploitus 利用聚合AI 评分5858 公开 PHP session.upload_progress UAF 验证框架，疑似对应 CVE-2026-109618 与 CVE-2026-109619
研究者发布 php-up-2026 验证包，针对 PHP session.upload_progress 的 UAF 问题，疑似对应 CVE-2026-109618 与 CVE-2026-109619。
Sploitus 利用聚合AI 评分5050 CVE-2026-109618 的 PHP 8.4.4 会话文件投毒 RCE 链复现
作者公开了针对 CVE-2026-109618 的 RCE 利用链，并在 PHP 8.4.4（php:8.4.4-cli）本地 Docker 环境中复现成功，通过 HTTP 获得 uid=0(root)。
Qualys 威胁研究同事件AI 评分8888 PHP 两个 CVSS 9.2 漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619）已出现攻击流量
PHP 修复了 CVE-2026-109618 与 CVE-2026-109619 两个 CVSS v4.0 9.2 的漏洞，可导致无需认证的远程代码执行，Cloudflare 已报告针对这两个漏洞的攻击流量，包括试图绕过其防护的尝试。
同一件事，精选收录的是《PHP 将发布带外更新修复两个 CVSS 9.2 的 RCE 漏洞》
Ars Technica 安全AI 评分3434 PHP 警告将紧急发布 2 个补丁，应对 PHP2Shell 远程代码执行利用报告
PHP 警告计划紧急发布 2 个补丁，背景是有关 PHP2Shell 利用程序可在 PHP 站点远程执行代码的未经证实报告。目前该利用报告尚未得到确认，补丁的具体版本与修复范围也未公布。
Sploitus 利用聚合AI 评分3838 CVE-2024-39210：Best House Rental Management System 任意文件读取漏洞利用
CVE-2024-39210 影响 Best House Rental Management System <=1.0，因访问控制不当，攻击者可通过 index.php 的 Page 参数读取任意 PHP 文件并获取应用内敏感信息。该漏洞利用代码已在 Sploitus 聚合中公开。
Sploitus 利用聚合精选AI 评分8080 公开 WordPress < 7.0.3 的 CVE-2026-64638 免认证 RCE 利用链
有人公开了针对 WordPress 7.0.3 之前版本的 CVE-2026-64638 利用工具，声称无需认证即可从 XSS 一路走到 RCE。
为什么值得看：公开的利用链把 XSS、Application Password 窃取与主题/插件编辑器写入串成免认证 RCE，并说明了各阶段依赖。
Ubuntu 安全公告 (USN)AI 评分2525 Ubuntu 安全公告 USN-8943-1：Protocol Buffers PHP 库拒绝服务漏洞
Ubuntu 发布 USN-8943-1，修复 Protocol Buffers PHP 库在处理负 varint 长度和递归限制时的缺陷，攻击者可利用特制输入使应用崩溃或耗尽资源，造成拒绝服务。受影响包为 php-google-protobuf，26.04 LTS 修复版本为 3.21.12-15ubuntu1.1，24.04 LTS 为 3.21.12-8.2ubuntu0.4。