PHP

CVE-2026-109618 与 CVE-2026-109619 都发生在 PHP 请求启动阶段，利用 session.upload_progress 的默认开启，用 memory_limit 触发的 OOM bailout 跳过清理，把悬空指针留给同一个 worker 的下一个请求，最后用伪造的 zend_array 把 pDestructor 指向 zif_system 执行命令。

CVE-2024-2961 是 glibc iconv() 转换 ISO-2022-CN-EXT 时最多越界写 4 字节的堆溢出，CVSS 7.3。PHP 应用只要存在任意文件读取，攻击者就能用 php://filter 串接 convert.iconv 把越界写投放到 ZendMM 的空闲链表上，控制下一次分配的位置，再覆盖 zend_mm_heap 的函数钩子执行命令。本文在 Vulhub 的 php/CVE-2024-2961 靶场（PHP 8.3.4 + glibc 2.36）完成从指纹识别、过滤器逐项验证到 webshell 落地的完整复现。