PHP session.upload_progress 注入PoC公开
热点事件持续更新
PHP session.upload_progress 注入PoC公开
1篇报道1个报道来源3 小时前更新
先了解这件事
AI 综述
研究人员 franckferman 在 GitHub 公开了 CVE-2026-109619 的 PoC 与利用脚本，演示如何利用 PHP 的 session.upload_progress 处理器实现免认证远程代码执行。该处理器在 rfc1867 上传处理中把客户端提供的文件名未经清洗写入会话文件，攻击者可通过 POST 中的 PHPSESSID 控制会话文件路径，再结合应用中的本地文件包含（LFI）漏洞执行代码。 利用需要两个条件：目标应用存在 LFI 漏洞，且 session.upload_progress.enabled 处于开启状态。该选项自 PHP 5.4.0（2012 年 3 月）起默认开启；公开材料列出的修复版本为 PHP 8.2.35、8.3.36、8.4.27 或 8.5.12 及以上，并建议将 session.upload_progress.enabled 设为 Off。
AI 根据报道生成 · 2 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
10月26日
- Sploitus 利用聚合PHP session.upload_progress 文件名注入结合 LFI 实现 RCE 的 PoC 公开（CVE-2026-109619）
GitHub 上公开了 CVE-2026-109619 的 PoC 与利用脚本，该漏洞位于 PHP 的 session.upload_progress 处理器，rfc1867 上传处理会把客户端提供的文件名未经清洗写入会话文件，攻击者可通过 POST 中的 PHPSESSID 控制会话文件路径，再结合应用中的 LFI 实现免认证 RCE。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。