PHP Serializable UAF 漏洞 PoC 与 EXP 公开
先了解这件事
研究者公开了 PHP Serializable::unserialize() 中 var_hash 释放后重用（UAF）漏洞的复现与适配版 EXP，并在 Ubuntu 24.04 官方 apt 安装的 PHP 8.3.6（NTS x86_64）上完成从 UAF 到 RCE 的全流程验证，通过伪造 Closure 调用 zif_system 执行命令。公开者称该问题影响 PHP 5.1 至今的所有版本；远程利用需要 unserialize() 入口和特定形式的 Serializable gadget，本地利用则常涉及突破 disable_functions。 后续公开的 php2shell-poc 将漏洞对应到 CVE-2026-109618 与 CVE-2026-109619，称成因是 Serializable::unserialize() 未加 serialize_lock。该说明还称，攻击者只要能把序列化数据写入会话存储（自定义 save handler、Redis/数据库会话或植入会话文件），且应用在会话启动前加载了递归 Serializable gadget 类，就无需 unserialize() 入口；会话数据中的 C: Serializable 条目会在 session_start() 时执行其 unserialize()。 上述 RCE 验证与利用条件均来自公开者的复现说明，并非 PHP 官方确认的结论。
AI 根据报道生成 · 1 天前更新
报道时间线
沿着报道，了解事件的不同侧面。
- Sploitus 利用聚合精选PHP 反序列化 UAF 漏洞 CVE-2026-109618/CVE-2026-109619 的 PoC 公开
研究者公开 php2shell-poc，利用 PHP 中 Serializable::unserialize() 未加 serialize_lock 导致的 var_hash 释放后重用（UAF）实现 RCE，对应 CVE-2026-109618 与 CVE-2026-109619。
- Sploitus 利用聚合PHP Serializable var_hash UAF 到 RCE 的复现与适配 EXP 公开
作者公开了 PHP unserialize() 中 Serializable 接口 var_hash 释放后使用（UAF）问题的复现与适配版 EXP，并在 Ubuntu 24.04 官方 apt PHP 8.3.6（NTS x86_64）上完成从 UAF 到 RCE 的全流程验证，伪造 Closure 调用 zif_system 执行命令。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。