PHP会话反序列化漏洞PoC公开

研究者公开了 CVE-2026-115560 的 PoC 与 Docker 实验环境。该漏洞源于 PHP session 上传进度的反序列化不匹配，在 php:8.4.27-apache 镜像上验证可实现免认证远程代码执行（RCE）。 PoC 针对的是 php.net 于 2026-10-23 信息性公告中披露、尚未修复的漏洞，发布时间在 PHP2Shell 紧急版本（CVE-2026-109618/-109619）之后两天；该镜像已修复 PHP2Shell。复现需同时满足：服务器配置中 session.serialize_handler 为 php_binary 或 php_serialize；应用在 session_start() 前通过 ini_set() 在运行时切换为 php；session.upload_progress.enabled 为 1（PHP 默认值）。官方缓解措施是将 session.upload_progress.enabled 设为 0。

AI 根据报道生成 · 8 小时前更新