PHP 8.5.5 : UAF 21 ans dans unserialize() exploité en RCE local et distant

🔍 Contexte

Publié le 2 mai 2026 sur le blog de Calif (blog.calif.io), cet article technique détaille la découverte et l’exploitation d’une vulnérabilité use-after-free (UAF) dans la fonction unserialize() de PHP, présente depuis PHP 5.1 (2005) et toujours exploitable dans PHP 8.5.5. La découverte s’inscrit dans le cadre du projet MAD Bugs (Month of AI-Discovered Bugs), combinant modèles d’IA (Claude) et expertise humaine.

🐛 La vulnérabilité

Le bug réside dans zend_user_unserialize() (fichier Zend/zend_interfaces.c), le point de dispatch pour Serializable::unserialize(). Contrairement à tous les autres points de dispatch utilisateur (__wakeup, __unserialize, __destruct), cette fonction omet d’incrémenter BG(serialize_lock), ce qui permet à un appel récursif à unserialize() de partager le var_hash externe.

• Les zvals de propriétés parsées en interne sont enregistrées comme slots externes, pointant vers l’arData de l’objet interne
• Si l’objet est muté suffisamment pour déclencher un redimensionnement de la table de propriétés (zend_hash_do_resize), l’ancien arData est libéré
• Une référence arrière R:N; ultérieure déréférence alors de la mémoire libérée

💥 Exploitation locale

L’exploit local (~30 déclenchements UAF) suit quatre phases :

1. Fuite d’adresse heap via un write-through ZVAL_MAKE_REF dans un spray contrôlé
2. Primitive uaf_read : forge un zval IS_STRING pointant vers une adresse arbitraire pour lire la mémoire
3. Construction d’un faux objet Closure : localisation de zend_ce_closure, closure_handlers, et zif_system (contournement de disable_functions via la table statique zend_function_entry[] du module)
4. Dispatch RCE : appel $result[33]("id && uname -a") → zif_system

Résultat : exécution en root sous ASLR complet sur PHP 8.5.5 (aarch64).

🌐 Exploitation distante

L’exploit distant (~2 000 requêtes HTTP POST) cible Docker php:8.5-apache avec Apache mod_php prefork MPM :

• Phase R-1 : fuite heap (1 requête)
• Phase R-2 : localisation de libphp.so par scan ELF (~50–120 requêtes)
• Phase R-3 : résolution de symboles via .gnu_hash (~10 requêtes)
• Phase R-4 : découverte de libc system() via dump du GOT (~1 500–2 000 requêtes)
• Phase R-5 : localisation du class entry stdClass (~55 requêtes)
• Phase R-6 : localisation du slot spray (~10 requêtes)
• Phase R-7 : confusion de type → appel libc system() via vtable forgée (1 requête)

Précondition forte : la cible doit avoir une classe implémentant Serializable qui appelle unserialize() récursivement et agrandit la table de propriétés de l’objet interne.

📋 Conditions et limites

• L’exploit distant a une précondition applicative forte (classe gadget spécifique) limitant sa portée pratique
• L’exploit local n’a pas cette contrainte
• Testé avec succès 3/3 fois sur linux/amd64 et linux/arm64
• La commande shell est limitée à 14 octets utilisables (contrainte GC_ADDREF)

📌 Type d’article

Analyse technique approfondie publiée par Calif, visant à documenter une vulnérabilité originale découverte par IA assistée d’experts, avec publication du PoC et de l’outil d’audit /php-unserialize-audit.

🧠 TTPs et IOCs détectés

TTP

• T1203 — Exploitation for Client Execution (Execution)
• T1211 — Exploitation for Defense Evasion (Defense Evasion)
• T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)

IOC

• Chemins : /dev/shm/x
• Chemins : /dev/tcp

Malware / Outils

• php-unserialize-audit (tool)
• PHPGGC (tool)

🟢 Indice de vérification factuelle : 66/100 (haute)

• ✅ blog.calif.io — source reconnue (Rösti community) (20pts)
• ✅ 30748 chars — texte complet (fulltext extrait) (15pts)
• ✅ 2 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 3 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://blog.calif.io/p/mad-bugs-finding-and-exploiting-a