PHP 两个 9.2 分 RCE 漏洞补丁后 PoC 涌现

Amazon Threat Intelligence 在 MadPot 蜜罐遥测中发现，针对 PHP 两个关键漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PHP2Shell 利用尝试始于 2026 年 10 月 17 日，比漏洞公开披露早四天，来源 IP 关联商业匿名化网络。

php2shell-check 是一个只读检查工具，用于排查 PHP2Shell 两个漏洞 CVE-2026-109618 与 CVE-2026-109619，二者均为 PHP 运行时本身的免认证 RCE。

PHP2Shell 公开了 PHP session.upload_progress RCE 对应 CVE-2026-109618 与 CVE-2026-109619 的单文件 PoC，包含两条利用链和 7 容器实验环境。

php2shell PoC 公开了 CVE-2026-109619 的复现方法，利用 PHP 会话上传进度处理在 RINIT 之前初始化会话并反序列化内容，使 opcache.preload 预加载类的 __wakeup() 在请求脚本前执行，从而通过 shell_exec() 执行命令或反弹 shell。

作者发布 PHP2Shell 复现仓库，公开 CVE-2026-109618 与 CVE-2026-109619 两个 PHP 漏洞的 PoC 脚本与 Docker 实验环境。

GitHub 上公开了 PHP 会话反序列化 RCE 漏洞 CVE-2026-109619 的已验证 PoC，对应 GHSA-6wmf-4rv5-p3rp，厂商 CVSS v4.0 评分 9.2。

PHP 维护者发布 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个可导致免认证远程代码执行的严重漏洞。受影响范围包括 PHP-FPM、Apache 的 mod_php、php-cgi、FrankenPHP 和 LiteSpeed 等处理 Web 请求的 PHP 安装，其中 mod_php 风险最高，已有演示利用可在应用代码运行前通过免认证请求触发攻击。

作者公开了针对 PHP 8.4.26 的 PHP2Shell PoC 靶场，在自建 Docker 环境中验证了从 session.upload_progress 到会话解码、gadget 反序列化、__destruct 触发 RCE 的链路，容器内取得 uid=0。

研究者公开 actual-php2shell PoC，针对 PHP 8.5.11 将 CVE-2026-109618 与 CVE-2026-109619 串联，在无应用代码参与的情况下执行 system("cat /etc/passwd")。

PHP2Shell 公开了针对 PHP multipart/form-data 解析器两个漏洞 CVE-2026-109618 与 CVE-2026-109619 的利用工具，两者 CVSS 均为 9.2，可对 PHP 应用实现免认证 RCE。

作者 VandaTheGod 公开 PHP2Shell 自动化利用脚本，针对 CVE-2026-109618 与 CVE-2026-109619，利用不同目录下 session.serialize_handler 配置不一致配合 session.upload_progress 实现免认证 RCE。

GitHub 项目 php2shell-exploit 公开了针对 CVE-2026-109618 和 CVE-2026-109619 的通用 PHP RCE 利用代码，作者称其为免认证、无 Cookie、纯 HTTP 的远程代码执行，攻击 PHP 的 session.upload_progress 处理器。

多家科技厂商、安全公司与政府机构针对 PHP2Shell 两个漏洞 CVE-2026-109618 和 CVE-2026-109619 发布通告、检测规则与缓解措施，这两个漏洞可让无需认证的攻击者远程执行代码。

作者发布开源只读扫描脚本 php-guardian，用于排查 php2shell（CVE-2026-109618 / CVE-2026-109619）受影响的 PHP 安装，对照的修复版本为 8.5.12、8.4.27、8.3.36、8.2.35。

ZeroHack 公开 php2shell 利用框架与 Docker 靶场，针对 PHP 核心 ext/session/session.c 中 session.upload_progress 的 Use-After-Free 与 handler confusion 问题，宣称可实现免认证 RCE。

GitHub 上出现 PHP2Shell Vendor Watch 单页看板，用于跟踪受 PHP2Shell 远程代码执行漏洞 CVE-2026-109618 和 CVE-2026-109619 影响的厂商与软件，这两个漏洞已在 PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 中修复。

PHP2Shell 公开了 CVE-2026-109618 的 PoC，称 PHP 8.5.4 在处理分块 multipart 请求时可能存在缓冲区溢出，问题发生在 RINIT 模块执行之前，RSHUTDOWN 模块不执行，PS(httpSESSIONVars) 变量在 Apache worker 中留下残留引用。

Netlogic Red Team 公开了 PHP ext/session 中 CVE-2026-109618（堆 UAF）与 CVE-2026-109619（RCE 链）的 PoC。

php2shell-poc 公开了针对 CVE-2026-109618（PHP session.upload_progress OOM 内存破坏，CVSS 9.2）的远程利用代码，整条链在 PHP 请求启动阶段完成，无需认证且与应用代码无关。

php2shell-lab 公开了针对 PHP 请求生命周期两个漏洞的独立实验环境与利用代码，CVE-2026-109618 为 OOM 破坏导致的 RCE，CVE-2026-109619 为陈旧全局状态导致的 RCE，均无需认证、仅走 HTTP。

作者 vitalelele 公开了 PHP CVE-2026-109618 的 PoC，该漏洞是 session upload progress 跟踪中的堆 UAF，可免认证远程执行代码，CVSS 9.2，影响开启 session.upload_progress.enabled（默认开启）的 PHP 构建。

GitHub 项目 php2shell-poc 公开了针对 CVE-2026-109618 与 CVE-2026-109619 的 PoC，两个漏洞均为 CVSS 9.2，分别对应 OOM 破坏导致的 RCE 和跨请求全局状态残留导致的 RCE，修复版本为 8.2.35、8.3.36、8.4.27、8.5.12。

GitHub 上的 PHP2Shell Remediation Guide 仓库公开了针对 CVE-2026-109618 与 CVE-2026-109619 的处置材料，称这两个 PHP 引擎漏洞可导致免认证远程代码执行。

Amazon 威胁情报团队确认，在 PHP2Shell 漏洞公开披露前四天（10 月 17 日）就已在 MadPot 蜜罐中观测到利用尝试，涉及 CVE-2026-109618 与 CVE-2026-109619，这两个漏洞可对近十年发布的 PHP 版本（最早至 5.4）实现免认证 RCE 与服务器接管。

Amazon 报告称，PHP 的两个 RCE 漏洞 PHP2Shell（CVE-2026-109618、CVE-2026-109619）在 10 月 21 日补丁发布前四天就出现利用尝试，最早一次发生在 10 月 17 日、来自商业匿名化网络并针对蜜罐。

php2shell-scanner 发布，用于检测 PHP 核心 RCE CVE-2026-109618 和 CVE-2026-109619（PHP2Shell，2026-10-21 公布）的暴露情况，提供 url 黑盒扫描、local 本机检查和 ssh 远程主机检查三种模式。

php2shell 仓库公开了 PHP 核心两个堆 use-after-free 漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PoC 利用脚本和 Docker 实验环境，两者 CVSS v4.0 均为 9.2 且无需认证。

针对 PHP 核心两个可导致未授权远程代码执行（RCE）的漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS 9.2，PHP 于 2026 年 10 月 21 日披露），该项目发布三套检测工具。

研究者 Mohammed Salah 发布 php2shell Scanner，用于检测 PHP 服务器是否受 CVE-2026-109618（CWE-787。

PHP2Shell 项目公开 CVE-2026-109618 的成因分析与被动检测模板，该漏洞是 PHP 核心请求体解析器中的免认证释放后重用（CWE-416），CVSS 4.0 评分 9.2，可导致远程代码执行。

作者公开了 PHP 核心两个内存安全漏洞 CVE-2026-109618 与 CVE-2026-109619（CVSS v4.0 9.2）的复现仓库，提供 python3 exp/exp_auto.py 一键利用脚本。

绿盟科技 CERT 监测到 PHP 披露远程代码执行漏洞 CVE-2026-109618/CVE-2026-109619，CVSS 评分 9.2，目前已有漏洞细节披露。

独立安全研究者 Mohammed Salah 发布 php2shell Scanner，用于检测 PHP 服务器是否受 CVE-2026-109618（越界内存破坏，CWE-787）与 CVE-2026-109619（UAF，CWE-416）影响，两者 CVSS 4.0 均为 9.2，属于 session.upload_progress 处理中的免认证 RCE。

php2shell-check 是一个针对 PHP2Shell 两个 RCE 漏洞 CVE-2026-109618 和 CVE-2026-109619 的非破坏性远程暴露评估工具，两者 CVSS 4.0 均为 9.2，已在 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12 中修复。

有人公开了针对 CVE-2026-109618 与 CVE-2026-109619 的 Python PoC 脚本，两个问题分别位于 session.c:3292 的 post_bytes_processed 与 session.c:3318 的 current_file_bytes_processed，均被描述为 stale pointer。

GitHub 项目 php2shell-cve-poc 公开了针对 PHP 的 PoC 实验环境，用 Docker 搭建 PHP 8.2.34 on Apache mod_php，演示 Chain A 通过 session 文件名注入配合 LFI 以 www-data 身份执行命令。

php2shell-check 是针对 PHP2Shell（CVE-2026-109618、CVE-2026-109619）的防御性只读检测工具，不含利用代码与 payload，可报告 PHP 版本与 SAPI 并与修复版本比对。

Sploitus 汇总的条目称 PHP 存在 CVE-2026-109618（php2shell，CVSS v4.0 9.2），攻击者可通过稳定触发 OOM 使请求清理阶段读取未初始化或已释放内存，进而实现 RCE，公开利用链针对 session.upload_progress 造成堆 UAF。

Amazon 威胁情报团队称，2026 年 10 月 17 日在 MadPot 蜜罐上检测到针对 PHP2Shell 漏洞的利用尝试，来源 IP 为 103.216.220[.]92，归属澳大利亚，来自商业匿名化网络。

php2shell PoC 针对 PHP 引擎内存破坏与全局状态残留问题 CVE-2026-109618 和 CVE-2026-109619 发布，相关缺陷已在 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 修复。

php2shell-detector 发布只读检测脚本，用于排查 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619，两者 CVSS v4.0 均为 9.2，属无需认证的远程代码执行，已于 2026 年 10 月 21 日披露并修复。

php2shell-detector 发布只读检测脚本，用于排查 PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619，两者 CVSS v4.0 均为 9.2，属无需认证的远程代码执行，已于 2026 年 10 月 21 日披露并修复。

作者 0verDo$ed 公开 PHP2Shell，一个针对 PHP session.upload_progress 处理器堆 UAF 的多目标 RCE PoC，对应 CVE-2026-109618 与 CVE-2026-109619。

研究者公开 PHP2Shell 漏洞的 PoC，针对 PHP 的 session.upload_progress 处理逻辑，串联 CVE-2026-109618 与 CVE-2026-109619 实现仅经 HTTP 的远程代码执行，两个漏洞 CVSS v4.0 均为 9.2。

PHP 项目发布 CVE-2026-109618 与 CVE-2026-109619 两个漏洞通告，称二者均可导致 Web 部署环境中的免认证远程代码执行，修复版本为 8.5.12、8.4.27、8.3.36、8.2.35，PHP 8.1 及更早分支已不在上游正常支持范围内。

php2shell 项目公开了 CVE-2026-109618 与 CVE-2026-109619 的 1:1 复现，针对固定的 php:8.4.26-apache 镜像（Apache 2.4.69、mod_php、prefork）实现纯 HTTP 免认证 RCE，3 次连续运行均取得 www-data 权限。

Alham Rizvi 发布 Go 编写的 php2shell-scanner，用于验证 PHP 目标是否存在 session.upload_progress 文件名注入原语，对应 CVE-2026-109618 与 CVE-2026-109619，扫描过程不执行任何代码，仅注入惰性随机 token 并回读确认。

php2shell 公开了针对 CVE-2026-109618 与 CVE-2026-109619 的 PHP 未授权 RCE PoC 与 EXP 工具，整个项目只有一个 Go 源文件 php2shell.go，仅依赖 Go 标准库，编译后为单个无运行时依赖的二进制。

作者发布零依赖只读检测工具 php2shell-check，用于判断 PHP 是否受 CVE-2026-109618 和 CVE-2026-109619 影响，两者均为 CVSS v4.0 9.2 的免认证远程 RCE，于 2026 年 10 月 21 日修复。

作者公开 PHP2SHELL 项目，包含针对 PHP 8.5.11 中 unserialize() 漏洞的本地 Docker 实验环境和远程 PoC 脚本 POC-PHP2SHELL.py。

GitHub 上发布 php2shell-check，用于对单个 URL 或主机列表做 php2shell（CVE-2026-109618 / CVE-2026-109619）的非侵入式检查，纯 Python 标准库实现。

作者发布 php2shell-check，一个只读被动检测工具，用于判断服务器自曝的 PHP 版本是否落在 CVE-2026-109618 与 CVE-2026-109619 的影响区间 5.4 至 8.5.11。

PHP2Shell 安全工具包 1.0.1 发布，用于对 CVE-2026-109618 与 CVE-2026-109619 做资产清点、取证分析与修复，两个漏洞位于 PHP 运行时，可导致免认证远程代码执行。

php2shell 发布脚本，用于修补 UISP 服务器内嵌 PHP 中的 CVE-2026-109618 与 CVE-2026-109619，这两个漏洞可导致免认证远程代码执行，CVSSv4 为 9.2，于 2026 年 10 月 21 日披露。

php2shell 公开了针对 PHP 请求状态漏洞 CVE-2026-109618 与 CVE-2026-109619 的可复现 HTTP PoC，利用链可泄露 Zend MM 堆基址与已加载的 libphp 基址，并通过 zif_system 执行短命令。

php2shell-check 是面向 CVE-2026-109618 与 CVE-2026-109619（PHP2Shell）的检测工具，仅发送公开的 Stage-1 OOM 触发请求并读取 HTTP 状态码，不实施利用。

一份聚合自 GitHub 的技术报告梳理了 PHP 核心两个无需认证 RCE 漏洞 CVE-2026-109618（GHSA-w8hw-w9fx-j79w，OOM 时 longjmp 导致请求内存半初始化）与 CVE-2026-109619（GHSA-6wmf-4rv5-p3rp，跨请求 UAF 的陈旧全局指针），并给出补丁 diff 与利用链分析。

php2shell-exp 公开了基于 PHP 官方补丁 3584a98bda 推导的 PoC 与 RCE 代码，利用上传进度处理器在 RINIT 之前解码会话并执行对象析构函数。

作者发布两个只读工具，用于确认 PHP 安装是否已修复 2026-10-21 公布的 CVE-2026-109618 与 CVE-2026-109619，两者均为请求生命周期中的免认证 RCE，CVSS v4.0 评分 9.2。

php-patch-verify 是一个按 Agent Skills 标准编写的工具，用于核查 PHP 安装是否已修复 2026 年 10 月披露的两个无需认证 RCE 漏洞 CVE-2026-109618 和 CVE-2026-109619，两者 CVSS 均为 9.2，修复版本为 PHP 8.5.12、8.4.27、8.3.36、8.2.35，8.1 及更早分支已停止支持。

GitHub 上公开了针对 PHP 核心免认证 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 的补丁辅助脚本，该漏洞经默认启用的 session.upload_progress 触发，影响 PHP 5.4.0 至修复版本。

Adversario 的 3ky（Diego Collao）公开了 PHP2Shell 本地实验仓库，用于对比 CVE-2026-109618 与 CVE-2026-109619 的四个漏洞版本与对应补丁版本。

作者发布 php2shell_check.py，用于检测 PHP 主机是否运行在 php2shell（CVE-2026-109618 / CVE-2026-109619）受影响版本上，该漏洞对 CVSS 评分为 9.2，修复版本于 2026-10-21 发布。

作者发布 php2shell_check.py，用于被动检测 PHP 主机是否运行在 php2shell（CVE-2026-109618 / CVE-2026-109619）受影响版本上，该漏洞对已于 2026-10-21 修复。

作者发布 php2shell Checker，用于检测 PHP 主机是否处于 CVE-2026-109618 与 CVE-2026-109619 影响的版本区间，该漏洞对已于 2026-10-21 修复。

phplume 是一款单文件 Python 编写的 PHP 暴露扫描器，用于在本地网络中比对 PHP 版本与 2026 年 10 月安全修复。它针对 CVE-2026-109618 和 CVE-2026-109619 两个 CVSS 4.0 评分 9.2 的 RCE 漏洞，上游修复版本为 8.2.35、8.3.36、8.4.27、8.5.12。

PHP Foundation 发布补丁，修复 CVE-2026-109618 与 CVE-2026-109619 两个 CVSS 9.2 的漏洞，二者均可导致免认证 RCE，分别源于内存耗尽处理（OOM）中的内存破坏和同一 worker 上后续请求复用陈旧请求全局状态。

一个无依赖的 PHP 审计工具被公开，用于比对上游 PHP 版本并可选验证 web handler 是否解析 multipart 请求，涉及 CVE-2026-109618 与 CVE-2026-109619。记录的上游修复版本为 8.2.35、8.3.36、8.4.27、8.5.12，PHP 8.1 及更早版本需厂商复核。工具明确表示可达性证据既不证明漏洞存在，也不代表可远程代码执行。

研究者公开 CVE-2026-109618 与 CVE-2026-109619 的 PoC，利用 serialize() 触发 memory_limit 时 zend_bailout() 跳过清理，使 BG(serialize).data 指向已释放的 ZMM 堆内存，同一 Apache prefork worker 的下一个请求复用该悬空指针导致 SIGSEGV。

php2shell-poc 仓库公开了针对 PHP 两个 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 的验证脚本，并附带 Docker 实验环境。

研究者公开 CVE-2026-109619 的本地 PoC，该漏洞是 PHP session 上传进度中的 use-after-free，在 PHP 8.5.11、Apache、x86-64 环境测试。

作者发布只读脚本 is-my-php-pwned，用于排查 PHP 项目披露的 CVE-2026-109618 与 CVE-2026-109619（合称 php2shell，CVSS 9.2）影响。

OX Security Research 发布 php2shell，为 PHP 核心两个已在 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 修复的漏洞 CVE-2026-109618 与 CVE-2026-109619 提供 PoC 与补丁校验工具。

PHP 团队发布紧急更新，修复被合称 PHP2Shell 的两个漏洞 CVE-2026-109618 和 CVE-2026-109619，两者严重性评分均为 9.2，修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。

php2shell-audit 是一款非破坏性暴露扫描工具，针对 2026 年 10 月 21 日披露的两个 PHP 核心漏洞 CVE-2026-109618（内存耗尽导致的 RCE）与 CVE-2026-109619（陈旧全局状态导致的 RCE）。

PHP2SHELL 发布隔离 Docker 实验，复现 2026 年 10 月 21 日披露的 PHP RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619，两者 CVSS v4 均为 9.2，对应 GHSA-w8hw-w9fx-j79w 与 GHSA-6wmf-4rv5-p3rp。

php2shell-scanner 是针对 CVE-2026-109618（OOM corruption 导致 RCE）和 CVE-2026-109619（stale global state 导致 RCE）的非破坏性扫描器，可选 --probe 探测。

Ubuntu 发布 USN-8948-2，将 USN-8948-1 中针对 Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS 和 26.10 的 PHP 修复扩展到 Ubuntu 14.04 LTS、16.04 LTS、18.04 LTS 和 20.04 LTS。

PHP 发布紧急安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个可让攻击者在服务器上执行任意代码的严重漏洞，影响所有运行 PHP 5.4 或更高版本的 Web 服务器，已在 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 中修复。

PHP 项目于 2026 年 10 月 21 日发布安全更新，修复 CVE-2026-109618（OOM 处理中的内存破坏）与 CVE-2026-109619（跨请求残留状态的 use-after-free），两者 CVSSv4 均为 9.2，可让攻击者以 Web worker 权限实现免认证 RCE。

php2shell-lab 发布针对 CVE-2026-109618 与 CVE-2026-109619 的差分复现环境，同一触发请求在 PHP 8.4.26 上导致进程崩溃，在 8.4.27 上无影响。

PHP 安全团队于 2026 年 10 月 21 日发布紧急补丁，修复两个 CVSS 评分 9.2 的 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619，影响 PHP 5、6、7、8 各版本。

php2shell 工具包公开了 CVE-2026-109618 与 CVE-2026-109619 的利用代码与检测模板，作者称全部内容已在 nginx 1.26.3 + PHP-FPM 8.3.32 实验环境中执行验证。

php2shell 工具包针对 CVE-2026-109618（GHSA-w8hw-w9fx-j79w，OOM/longjmp 内存破坏）与 CVE-2026-109619（GHSA-6wmf-4rv5-p3rp，陈旧全局状态）公开了可运行的利用代码与检测模板，作者称全部在 nginx 1.26.3 + PHP-FPM 8.3.32 实验环境中验证。

Cisco Talos 正在跟踪 PHP core 中两个免认证 RCE 漏洞 CVE-2026-109618 和 CVE-2026-109619，两者 CVSS v4.0 评分均为 9.2，影响自 5.4 以来的所有 PHP 构建版本，普通 HTTP 请求即可触发，且在任何应用代码执行前即可利用。

PHP 于 21-oct-2026 14:00 UTC 发布 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，修复两个无需认证的 RCE，CVE-2026-109618 对应 GHSA-w8hw-w9fx-j79w 的 OOM corruption。

Ghxstsec 发布 php2shell-poc，针对 PHP 引擎 session.upload_progress 的 CVE-2026-109618 提供远程代码执行利用脚本，通过竞态、HashTable 析构与 149 元素堆喷覆盖 zend_call_function 等函数指针并跳转到 system()。

php2shell 仓库公开了 CVE-2026-109618 与 CVE-2026-109619 两个 PHP 内存破坏 RCE 漏洞的验证 PoC，并附带 Apache mod_php 与 nginx/PHP-FPM 的 Docker 复现环境。

php2shell 仓库公开了 PHP session.upload_progress 堆 UAF 漏洞 CVE-2026-109618 与 CVE-2026-109619 的 PoC。

作者审计了 jackalsyn.com 发布的 PHP CVE-2026-109618/109619 利用包，并在 Ubuntu 24.04 实验机上对 PHP 8.2.34 等三个构建发起 18 次攻击，均未取得命令执行。

PHP 开发者于 2026 年 10 月 21 日发布紧急安全更新，修复两个可让攻击者在未登录情况下在 Web 服务器上执行代码的漏洞 CVE-2026-109618 和 CVE-2026-109619，两者在 CVSS v4.0 下均为 9.2。

作者 baka9moe 发布单文件 Python PoC，复现 PHP session.upload_progress 处理器的跨请求序列化状态 UAF（CVE-2026-109618 / CVE-2026-109619）。

php2shell-pocs 仓库发布两个 Docker 实验，用于复现 PHP 2026 年 10 月通告中 CVE-2026-109618 和 CVE-2026-109619 的请求触发条件。

研究者公开 php2shell 工具包，针对 PHP2Shell 的 CVE-2026-109618 与 CVE-2026-109619 提供利用脚本、IOC 狩猎、Sigma 与 ModSecurity 规则及侦察工具，所有验证均在 nginx 1.26.3 + PHP-FPM 8.3.32 实验环境完成。

Grayson（wind884）发布 PHP2Shell 生命周期分析，梳理 PHP 在首行代码执行前请求处理流程中的两个 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619。

一份源码审计报告分析了 PHP 8.2 中 CVE-2026-109618 与 CVE-2026-109619 两条 RCE 路径，前者源于内部操作未完成时的 OOM 退出，后者源于请求内存释放后 worker 仍保留引用，导致后续请求被提前处理。

php2shell 仓库公开了 CVE-2026-109618 与 CVE-2026-109619 的本地条件验证脚本，用于在 PHP 8.4.4 与已修复的 8.4.27 上确认漏洞行为与补丁差异。

作者发布针对 PHP CVE-2026-109618（GHSA-w8hw-w9fx-j79w）的非破坏性受影响版本检测工具，该漏洞是 PHP 请求启动阶段 OOM 处理（longjmp）中的 use-after-free，可导致 RCE，CVSS 9.2。

php2shell 公开了针对 CVE-2026-109618 与 CVE-2026-109619 的 PoC，利用 PHP session.upload_progress 实现免认证 RCE。

研究者公开 CVE-2026-109618/619 的最小 PoC，包含 poc.php、poc.py 和 run_lab.sh，攻击链为先用 $_SESSION 存储功能注入 gadget，再发一个免认证 multipart 请求触发 request_parse_body() 中的反序列化，最终执行 @system("id")。