# junaire/CVE-2026-109618-exploit

> Рабочий эксплойт и Docker-стенд для неаутентифицированного RCE в обработке session.upload_progress в PHP (CVE-2026-109618/109619), затрагивающего версии 5.4.0–8.5.11.

- Магнитуда: 4,9 из 10 — Ранний сигнал
- Звёзды: 118 всего · +3 звезды по замерам 2026-10-22, 10:42–12:52 UTC, к вечеру ≈ 24
- Доверие к звёздам: рост звёзд выглядит естественно
- Категория: Безопасность · Язык: Python · Создан: 2026-10-21 · Последний коммит: 2026-10-21
- GitHub: https://github.com/junaire/CVE-2026-109618-exploit · Страница: https://gitnova.dev/r/junaire/CVE-2026-109618-exploit

## Чем пригодится

- Проверить свой PHP-хост на уязвимость, запустив эксплойт против локального Docker-стенда
- Воспроизвести цепочку session fixation и object injection для обучения пентесту
- Подобрать gadget-класс и свойство под реальное приложение через флаги --gadget и --prop

## Почему он здесь

- По замерам счётчика за 2026-10-22 (UTC), 10:42–12:52: 115 → 118 звёзд (+3). Это прирост за указанный интервал.
- Расчётный прогноз на конец суток: около +24 звёзд; учитывает наблюдаемый прирост и предыдущий день.
- Репозиторию 1 день, а у него уже 118 звёзд. Истории меньше двух недель, так что обычного темпа, с которым можно сравнить всплеск, у него ещё нет.
- Топ новых репозиториев за неделю: #198.
- Около 31 форков в сутки — код забирают себе.

## Доверие к звёздам

Рост звёзд выглядит естественно.

Метки доверия к звёздам — эвристики по поведению репозитория, а не проверка каждого, кто поставил звезду.

## Цифры

- Форков: 72
- Issues и pull requests: 0
- Наблюдателей: 0
- В среднем за неделю: 61 в день
- Обычный темп: мало истории (меньше двух недель)
- Звёзд за последний час (по замерам): 1

## Звёзды по дням за 2 дня (от старых к новым, сегодня — неполный день)

2026-10-21 … 2026-10-22: 97, 3

## Где замечен сейчас

- Топ новых репозиториев за неделю: #198

## Похожие по описанию

1. **ikow/php2shell-poc** — 8,4 · Ранний сигнал · Безопасность · Python · +416 звёзд по замерам 2026-10-22, 00:37–12:51 UTC, к вечеру ≈ 853
   Набор proof-of-concept для двух pre-auth RCE-уязвимостей PHP (CVE-2026-109618 и CVE-2026-109619), затрагивающих PHP 5.4.0 - 8.5.11, с эксплойтами, правилами детектирования и лабораторным окружением.
   Полная карточка: https://gitnova.dev/r/ikow/php2shell-poc.md
2. **NCSC-NL/php2shell** — 5,9 · Ранний сигнал · Безопасность · Python · +54 звезды по замерам 2026-10-22, 00:37–12:52 UTC, к вечеру ≈ 108
   Оперативная информация о критических уязвимостях PHP CVE-2026-109618 и CVE-2026-109619, допускающих неаутентифицированный RCE: рекомендации по патчам, детектированию и списки затронутого ПО.
   Полная карточка: https://gitnova.dev/r/NCSC-NL/php2shell.md
3. **assetnote/php2shell-scanner** — 3,7 · Ранний сигнал · Безопасность · Python · +11 звёзд по замерам 2026-10-22, 12:09–12:59 UTC, к вечеру ≈ 16
   CLI-сканер на Python для обнаружения уязвимостей php2shell (CVE-2026-109618 и CVE-2026-109619) в PHP-приложениях. Отправляет multipart-запросы и определяет уязвимость по ошибкам исчерпания памяти, сбоям PHP-FPM или известной…
   Полная карточка: https://gitnova.dev/r/assetnote/php2shell-scanner.md

---

Магнитуда (0–10) — насколько быстро и необычно сейчас растёт интерес к репозиторию. Это не оценка качества.
Дни — по UTC. «Уже сегодня» — факт, «к вечеру ≈» — прогноз.
Описания и сценарии пишет модель (DeepSeek V4.1 Flash) по README, в деталях возможны ошибки: конкретные утверждения (замеры, скорость, железо) проверяйте в самом репозитории.
Данные на 2026-10-22 13:05 UTC, обновление каждые 30 минут.