PHP CVE-2026-109618 复现环境与 PoC 公开

研究者公开了 PHP CVE-2026-109618（GHSA-w8hw-w9fx-j79w）的本地复现环境与 PoC，默认启动 PHP 8.4.26 的 Apache mod_php 目标，验证目标进程执行 id 与 whoami 并写出证明文件。 官方公告称，已在普通多 worker 的 mod_php 配置中验证 HTTP 远程代码执行。PoC 的固定地址仅适用于该目录中按摘要固定的官方 PHP 8.4.26 linux/amd64 镜像及当前 Apache/PHP 配置，固定偏移不能直接用于其他 PHP 构建或架构；为保持地址稳定，实验在目标容器内通过 setarch x86_64 -R 关闭 ASLR，并以 seccomp=unconfined 允许该操作。 PHP 8.2、8.3、8.4、8.5 分支的首个修复版本分别为 8.2.35、8.3.36、8.4.27、8.5.12。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。