内存破坏

在 Redis 8.6.2 上复现 CVE-2026-23631：慢脚本超时后钩子进入事件循环，主从全量同步把仍在执行的 Lua 引擎释放，形成释放后使用。先用 gdb 抓到同一 lua_State 被二次释放的调用链，再用公开利用链取得 redis 用户命令执行与反弹 shell，并与修复版本 8.6.6 做对照。

记录在 PostgreSQL 18.4 上从公开 PoC 走到自建利用链的研究过程。从分配器方法表的来源讲起，依次建立观测手段、筛选写原语、解决地址漂移、在块头约束下改用复位回调，最终取得反弹 shell。

CVE-2026-14669 是 PostgreSQL to_char 处理时区缩写时的堆溢出。结果缓冲区按格式化串长度分配，每个格式字符 12 字节，而 TZ 项把会话时区缩写直接 strcpy 进去且不校验长度。会话时区是普通用户可改的参数，因此任意可登录账号都能让后端越界写，公开利用已在小版本上打通到命令执行。

CVE-2026-111497 是 Node.js 内置 Brotli 解码器中的堆越界写。解码器将无效的块切换状态误判为输入不足，继续向 8 字节暂存区追加数据，溢出后覆盖相邻字段。本文从端口扫描与业务探测入手，确认目标会将攻击者可控的 Brotli 流送入解码器，随后定位崩溃点并完成远程命令执行。

CVE-2026-109618 与 CVE-2026-109619 都发生在 PHP 请求启动阶段，利用 session.upload_progress 的默认开启，用 memory_limit 触发的 OOM bailout 跳过清理，把悬空指针留给同一个 worker 的下一个请求，最后用伪造的 zend_array 把 pDestructor 指向 zif_system 执行命令。