PHP 8.5.10 本身无独立反序列化漏洞，但存在 CVE-2026-109619（php2shell），可借 session.upload_progress 写入恶意数据至 session 文件，在应用手动反序列化时触发执行。
PHP 8.5.10 **本身不包含已知的、独立发布的反序列化漏洞**。你提到的“PHP 8.5.10 反序列化漏洞”，极大概率是指近期爆发的 CVE-2026-109618 / CVE-2026-109619（代号 php2shell），它虽非传统意义上的“反序列化链触发”，但攻击链中**确实可利用 session.upload_progress 机制，将恶意构造的会话 ID 和文件名写入 session 文件，在特定配置下诱发反序列化执行**——这属于漏洞组合利用路径之一，而非 PHP 解释器自身解析 unserialize() 的缺陷。
确认你真正要测的是什么
别直接拉个 8.5.10 就开跑。先明确目标：
- 测的是 php2shell 漏洞在 session 文件落地后触发反序列化的分支场景（需目标应用存在 __wakeup/__destruct 等魔术方法且 session.save_handler=files）
- 还是想复现一个 经典 PHP 反序列化链（比如 Laravel、Monolog、PHPMailer 等第三方组件的链），而恰好用了 8.5.10 运行环境？
- 注意：PHP 8.5.10 属于 未修复版本（官方修复版是 8.5.12），它具备触发 CVE-2026-109619 的全部条件，但必须配合特定请求和应用逻辑才能走到反序列化那步。
本地环境搭建关键三步
用最简方式复现该利用路径，不需要公网、不需要真实业务代码：
-
装 PHP 8.5.10 + PHP-FPM：从 php.net 归档页 下载
php-8.5.10-Win32-vs16-x64.zip（Windows）或用docker pull php:8.5.10-fpm（Linux/macOS）。禁用 opcache，关闭 JIT，确保环境干净。 -
启用并暴露 upload_progress：在
php.ini中设： session.upload_progress.enabled = 1
session.upload_progress.name = "X-UPLOAD-ID"
session.save_handler = files
session.save_path = "/tmp/php-sessions" （Linux）或 "C:\php-sessions"（Win） -
写一个极简接收脚本（
upload.php），内容只要一行：
它不处理上传，只启动 session —— 这就足以让 PHP 把攻击者指定的X-UPLOAD-ID值写进 session 文件，完成第一跳。
验证 session 文件是否被污染
发一个带恶意参数的 POST 请求（用 curl 或 Burp）：
立即学习“PHP免费学习笔记（深入）”；
curl -X POST http://127.0.0.1/upload.php \
-F "X-UPLOAD-ID=|O:8:\"stdClass\":1:{s:4:\"test\";s:12:\"phpinfo();\";}" \
-F "file=@/dev/null"
然后立刻检查 session 文件（如 /tmp/php-sessions/sess_abc123），应看到类似内容：
这就说明 payload 已写入。下一步是否能反序列化，取决于你的应用是否在后续流程中调用了 unserialize($_SESSION['upload_progress_'.$key]) —— 这不是 PHP 默认行为，而是某些 CMS 或框架的手动实现（如旧版 WordPress 插件、自定义上传模块）。
安全提醒：别在生产或联网环境试
这个环境只用于理解漏洞原理。PHP 8.5.10 是高危版本，切勿在任何可访问网络的机器上运行。测试完立即销毁容器或停掉服务。真实修复方案只有一个：升级到 8.5.12，而不是绕着漏洞写 PoC。
