PHP2SH-Bug

Scheint so, dass der MIME-Parser/-Splitter bei Uploads bei PHP kapott ist.
https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/

Und nein, es muss kein Upload-Formular existieren - es reicht schon, den passenden Exploit an +irgendeine+ PHP-Seite zu schicken. Die muss vmtl. nicht mal existieren, weil der Parser da schon in Aktion trat (unklar, weiß da wer mehr?)?

Helfen dürfte, alles zu sperren, was im "Content:"-Header irgendwas mit "multipart* hat.

1/2

#php #php2shell