PHPの未修正脆弱性が流出、攻撃コードでsystem()実行まで到達

Major PHP Vulnerability Leaked

▲ 178rfarley0458 HNでの議論

PHPのsession.upload_progressハンドラにヒープuse-after-freeがあり、解放済みのzvalポインタを再取得してzend_call_function経由でsystem()を呼べる。デフォルト設定のまま1回のmultipart POSTで発火し、8.4.4と8.2.34で検証済み。パッチ前の緩和策としてsession.upload_progress.enabled=Offとmultipart POSTの制限を著者が無償公開している。

パッチ前の緩和策がサブスクリプションの特典であるべきではない。
原文を読む →HNでの議論RSS

HNでの議論

58
  1. lorenzbrun

    これがまだ公式に禁輸措置中の脆弱性ではないことはほぼ確実だと思う。実際の脆弱性は2つ見つけたと思う（どちらもUAFで似たようなものだ）。自分のところは（少なくともそう願っているが）パッチを当てて、トラフィックを検出器にミラーリングしている。最初のヒットがいつ来るか非常に興味がある。実際のエクスプロイト試行や完全なリークを見ない限り、自分のパッチはまだ公開しないつもりだ。

  2. InvisibleUp

    PHP開発者の一人によると、これは全く無関係のエクスプロイトかもしれない。https://phpc.social/@Girgias/117476477429221001 を参照。最善の応急処置はSELinuxかAppArmorのようだ。

  3. idlewords

    未来は、コメント欄で人々が高深刻度の脆弱性が禁輸措置中のものなのか、それとも禁輸措置の噂を聞きつけてAIエージェントをコードベースに向けたことで発見された様々な無関係の壊滅的バグの一つなのかを議論するのだろう。

  4. iambateman

    この嵐が過ぎるまで、うちのアプリのサーバーを切った。

  5. lionkor

    誰かがClaudeにハッカーのロールプレイをさせている…やれやれ

この日のほかの記事

2026-10-21