php反序列化漏洞本质是unserialize()处理不可信数据导致属性可控，结合__destruct等魔术方法触发pop链实现远程代码执行，防御需禁用unserialize或采用白名单、hmac签名等机制。
确认目标PHP应用是否启用unserialize调用链
打开项目根目录，执行 grep -r "unserialize(" . --include="*.php" | head -20，快速定位所有显式反序列化点。
这一步必须做，因为CVE-2026-109619的利用链依赖于PHP在解析multipart请求时提前初始化Session并残留全局状态，而unserialize()是唯一能将攻击者可控字节流注入到PHP内核内存布局中的应用层入口——没有它，PHP2Shell无法完成最终的任意代码执行跳转。
检查unserialize参数是否来自HTTP请求体或上传字段
逐条分析上一步输出的文件路径和行号，确认每个unserialize()调用的参数来源。
重点筛查三类高危输入源：【$_POST、$_GET['data']、$_FILES中filename为空但content-type含application/octet-stream的字段】。只要参数直接或间接来自这些位置，就满足“应用层可达”第一条件。
注意：若参数来自数据库查询结果或配置文件，该点不可达，立即排除。
通过 Codex CLI 生成图片，支持尺寸控制和批量模式。依赖：codex (npm)。代理默认启用。用 generate.sh 生成单张，batch_generate.sh 批量生成游戏 UI 素材，gen_size.sh 指定尺寸。所有输出保存至 ~/.codex/generated_images/。
验证是否在Session开启后、请求解析中途被调用
第一步：在疑似文件中搜索session_start()或ini_set("session.use_cookies", 0)等Session控制语句，确认其调用位置早于unserialize()。
第二步：查看unserialize()所在函数是否被$_POST['PHP_SESSION_UPLOAD_PROGRESS']触发，或是否位于uploadprogress扩展回调逻辑中。
第三步：检查该文件是否被mod_php或php-fpm以常驻进程方式加载（如Apache .htaccess中无php_flag engine off，或FPM pool配置中pm.max_requests = 0）。
三个条件全部满足，即构成PHP2Shell从网络请求直达内核UAF漏洞的完整通道。此时无需等待补丁，应立即将该文件从Web根目录移出或添加die("disabled");硬拦截。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
