PHP2Shell: PoC цепочки RCE через UAF в session.upload_progress

Исследователь опубликовал PoC PHP2Shell для двух критических уязвимостей PHP (CVE-2026-109618 и CVE-2026-109619) с рейтингом CVSS 9.2. Heap use-after-free в обработчике session.upload_progress позволяет провести неаутентифицированный RCE; исправления вышли в PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12, ветки ≤8.1 без бэкпорта.

• Уязвимости затрагивают PHP 8.2–8.5, CVSS 9.2, ветки ≤8.1 не получат патч
• UAF срабатывает при остановке загрузки дольше session.upload_progress.min_freq (1 с)
• PoC включает Docker-лаборатории и цепочки session poison + LFI, FastCGI и PEAR
• Временная мера — отключить session.upload_progress.enabled в php.ini