# php-cve-triage

**Repository Path**: heart-bright/php-cve-triage

## Basic Information

- **Project Name**: php-cve-triage
- **Description**: PHP CVE-2026-109618/109619 资产排查工具（源码 GUI 单文件exe）
- **Primary Language**: Unknown
- **License**: Not specified
- **Default Branch**: main
- **Homepage**: None
- **GVP Project**: No

## Statistics

- **Stars**: 0
- **Forks**: 0
- **Created**: 2026-10-21
- **Last Updated**: 2026-10-21

## Categories & Tags

**Categories**: Uncategorized

**Tags**: None

## README

# php-cve-triage

PHP **CVE-2026-109618 / CVE-2026-109619**（OOM 与请求清理路径双 RCE）的资产排查工具包。
面向运维/安全团队：批量找出企业内**未升级**的 PHP 资产，输出四态判定与可复核证据。

> 修复版本：**8.2.35 / 8.3.36 / 8.4.27 / 8.5.12**（php.net 2026-10-21 公告）
> CVSS v4.0 **9.2**（`AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H`）

## 快速开始

**Windows 运维（零依赖）**：直接下载 exe，双击即用，不需要 Python。
- 直链（无需登录）：<https://gitee.com/heart-bright/php-cve-triage/releases/download/v1.2/CVE排查.exe>
- 或进 [发行版](../../releases) 页面下载 v1.2 附件
- SHA256：`5b84a5c004a6155e41e7a8d0786ee247d5b1a27788a25b61f70d106ca1b5801a`

**源码运行**：`gui/run_gui.bat`（Windows）/ `gui/run_gui.sh`（Linux，需 python3-tk）。
**命令行/CI**：`python3 tools/php_cve_scan.py -i assets.txt -o result.csv --workers 16`

## 目录

```
gui/                 图形界面（Tkinter 单文件）+ PyInstaller 打包脚本
  cve_triage.py      主程序
  cve_triage.spec    打包配置（内嵌 tools 资源）
  build_exe.bat      一键构建 exe
  dist/CVE排查.exe   已构建产物（v1.2）
tools/
  php_cve_scan.py    批量面扫：只读指纹 + 版本判定 → CSV 四态
  check_local.sh     上机确认：版本 + 补丁符号指纹（退出码 0/1/2）
  oom_poc.php        行为验证实验（结论：不具判定力，仅研究用）
  oom_probe.py       配合上面脚本的探测器
  README.md          完整操作手册（运维看这个）
lab/
  RESULTS.md         8.4.26 vs 8.4.27 对照实验结果
  docker-compose.yml 靶场编排
CVE-2026-109618-109619_分析报告.md   根因分析（基于官方源码 diff）
```

## 判定口径

| 判定 | 含义 | 处置 |
|---|---|---|
| 受影响 | 版本低于修复线 | 立即升级 |
| 未知 | 未取到版本（`expose_php=Off` 等），或站点对任意路径返回同一页 | **必须上机** `check_local.sh` |
| 已修复 | 版本达到修复线 | 记录证据归档 |
| 不适用 | 未发现 PHP 指纹且 `/index.php` 不解析 | 排除 |

核心判据是**版本号 + 补丁符号指纹**：8.4.27 起新增 `zend_handle_delayed_oom`、`zend_mm_delayed_error_or_panic` 等符号，二进制里有即已打补丁——可穿透"版本号未变但发行版回移补丁"的情况。

## 已知限制

- 行为验证（触发 OOM 看 worker 是否崩）在本机 8.4.26/8.4.27 对照中**无差异**，不能作为判定依据，见 `lab/RESULTS.md`。
- 扫描结果依赖**出口 IP**：目标做源地址白名单时，换机器结果不同。
- 本工具只发只读 GET，不含漏洞利用代码。

## 免责

仅用于**自有或已获授权**的资产排查。对未授权目标使用属违法行为，与本项目无关。