Sploitus 利用聚合·2026-10-21 21:01· 1 天前精选AI 评分88

PHP 反序列化 UAF 漏洞 CVE-2026-109618/CVE-2026-109619 的 PoC 公开

Exploit for CVE-2026-109618

AI 导读

研究者公开 php2shell-poc，利用 PHP 中 Serializable::unserialize() 未加 serialize_lock 导致的 var_hash 释放后重用（UAF）实现 RCE，对应 CVE-2026-109618 与 CVE-2026-109619。

为什么值得看

公开的利用套件覆盖 PHP 7.3 至 8.5 多个版本，并给出 session_start() 解码路径这一无需 unserialize() 入口的触发方式。

来源：Sploitus 利用聚合 · sploitus.com