亲啊嘴金，发布于：Thursday, 22 Oct 26 11:00:17 | 0 浏览
2026 ，PHP 全量版本 的 CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) 和 CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp) 漏洞人类查看见解
我祖传写PHP的，以前这个博客程序，留言板放开了 JavaScript 的全量写入，那个时候没有 markdown，没有沙盒，没有docker 这个登西，由于年少无知，觉得能让各路妖魔鬼怪在留言板程序输入敲入JavaScript很稀疏平常。。
话题说回到2026这2个漏洞，描述是PHP解码器“在某一个时刻”[应当]回收的部分，会被下一次工作线程给拾取，从而继续被访问，而这个继续被访问的内存地址空间可以被允许执行任意代码。已经有讨论组大佬[认为]这个可以被称作0day的漏洞可利用的场景有限，很早就已经被人类感知；这里存在一个小的细节，就是如果是Java啊，JavaScript，或者GO，或者python，甚至其它APP，出现这种回收机制出现漏洞的时候，讨论点会被聚焦到OOM回收器的智能不智能的问题上，燃鹅，PHP这种内存该回收没回收干净爆漏洞的做法，大家就温和得多，一点也不说PHP回收机制问题，因此证
，载入中……
 我祖传写PHP的，以前这个博客程序，留言板放开了 JavaScript 的全量写入，那个时候没有 markdown，没有沙盒，没有docker 这个登西，由于年少无知，觉得能让各路妖魔鬼怪在留言板程序输入敲入JavaScript很稀疏平常。。 话题说回到2026这2个漏洞，描述是PHP解码器“在某一个时刻”[应当]回收的部分，会被下一次工作线程给拾取，从而继续被访问，而这个继续被访问的内存地址空间可以被允许执行任意代码。已经有讨论组大佬[认为]这个可以被称作0day的漏洞可利用的场景有限，很早就已经被人类感知；这里存在一个小的细节，就是如果是Java啊，JavaScript，或者GO，或者python，甚至其它APP，出现这种回收机制出现漏洞的时候，讨论点会被聚焦到OOM回收器的智能不智能的问题上，燃鹅，PHP这种内存该回收没回收干净爆漏洞的做法，大家就温和得多，一点也不说PHP回收机制问题，因此证明，PHP的内存回收机制已经固化了，是一个大型人类工程。。。所以存在于几乎全量版本很多年没人敢动所以漏洞也躺平在其中。  我看了官方对漏洞的只言片语（截至到这篇博文的更新内容的日期），还是跟 POST_MAX，MEMORY_LIMIT 有关，可以缓解但不是根治，而且比较高存在的复现率是存在于 Apache HTTPd 的 MOD_PHP 模块。。（喵的 我就是 Apache http 跑的，ZSTD 部分还是 自己写的 https://github.com/foglede/mod_zstd/ ） Apache HTTPd 模块。这个漏洞也是Ai发现的。但实际人类写利用工具，是很难在几个皮秒时刻去在未回收完毕又发送一个请求的，因为前端的（大概率会有 webserver 的 QOS 限制，或者去重机制）。但是精益求精的看，也确实存在这么一个【时刻】，而且锱铢必较的说，Php 从7.4版本开始就自带了一个 webservice 服务器，本地请求本地访问的时候肯定能重现，但是如果放到一个公网，有TCP的访问这么一个环境，‘这么一个【时刻】’ Ai 是看得见的也理论成立的，Ai也是能够有这么快的访问频率的，但是在 Php 这种漏洞操作人类的访问中是比较难触碰的（包括特制的爆破工具，爆破工具也至少要实现皮秒级别的并发才行）。如果真想触碰复现某个公网的某个站点这么一个【时刻】，其实反而会优先触发CC攻击防御规则，或者是 POST MAX err 防御规则，或者一大堆基础的防御规则，或者还有一种情况就是某些站点用PHP，走的是HTTP3协议的UDP包，也有可能打穿（比如我就是HTTP3的博客）。这也解释了，为什么比较高的复现成功率能够在Apache MOD_PHP 模块中发生，因为 Mod_php 模块和Apache httpd 几乎共享了大面积的RAM的内存上下文，另外也有Ai说能打穿Php-fpm构建的环境，但是是Ai高频请求打穿的，甚至是专门写的利用工具打穿也存在难度，如果明白Php-fpm的运作机理也很好理解了。 最后说来说去就是确实很危险，并且这个漏洞的发现也更像是Ai天秀人类无法企及的微操。如果想针对性的靠这2个漏洞去入侵，至少要解决如何绕过CC防御，如何绕过DDOS防御，如何确保并发到服务器以后是负载到是同一实例的情况，哪怕用了那些常驻型内存型的frankenphp webserver。 视频版本的分析：https://www.bilibili.com/video/BV1s9n16xERT/ 11分13秒 可以看下。。