Ein einzelner POST-Request reicht: PHP-Lücke erlaubt Code-Ausführung als system()
Major PHP Vulnerability Leaked
Ein Use-after-free in PHPs session.upload_progress-Handler genügt in der Standardkonfiguration, um über einen einzigen schnellen Multipart-POST und einen zweiten update() einen manipulierten zend_call_function-Aufruf einzuschleusen – praktisch ein Aufruf von system(). Der Autor hat die Kette gegen php-src 8.4.4 und 8.2.34 verifiziert und liefert ein Framework samt Mitigationen vor dem offiziellen Patch. Betroffen sind auch 7.x-Installationen ohne Aussicht auf ein Update.
Eine Mitigation vor dem Patch sollte kein Abo-Bonus sein.